Ga naar inhoud
Methodologie

CORS

ia.cors · 5.7

Handelen MAG Aanbeveling

Waarom het belangrijk is

CORS bepaalt welke origins je site vanuit een browser mogen aanroepen. Publieke API's hebben een bewust CORS-beleid nodig. Een wildcard met credentials is niet veilig.

Zo los je het op

Stuur een bewuste Access-Control-Allow-Origin op API-responses en combineer * nooit met credentials.

  1. Sta alleen de origins toe die browsertoegang tot de API nodig hebben.

    add_header Access-Control-Allow-Origin "https://app.example.com" always;

  2. Stuur geen Access-Control-Allow-Credentials: true met een *-origin.

Controleren

curl -sI -H 'Origin: https://example.org' https://{domain}/

Verwacht: Geen Access-Control-Allow-Origin: * samen met Access-Control-Allow-Credentials: true

Start een nieuwe scan voor dit checkpoint:

isagentready results {domain} --checkpoint ia.cors
Details Koppeling, levenscyclus en bronnen
AR-koppeling
Geen AR-practice
Bron van het bewijs
MDN: CORS
Rol in de score
Bonus
Toegevoegd
2026-08-24
Herzien
2026-09-02
Methodologieversie
2026-10-22

Checkpointdata (JSON)