Access-Control-Allow-Origin

Sintaxis

Access-Control-Allow-Origin: *
Access-Control-Allow-Origin: <origen>
Access-Control-Allow-Origin: null

Directivas

*

Para las peticiones sin credenciales, el servidor puede especificar el caracter "*" como un comodn, permitiendo a cualquier origen acceder al recurso. El acceso ser permitido solamente para las peticiones hechas con el atributo crossorigin definido como "anonymous". Intentar usar el comodn con credenciales resultar en un error.

<origen>

Especifica que origen puede acceder al recurso. Slo se puede especificar un origen.

Ejemplos

Para permitir a cualquier origen el acceso a tus recursos, puedes especificar:

Access-Control-Allow-Origin: *

Una respuesta que le dice al navegador que permita la peticin de cdigo del origen https://developer.mozilla.org para acceder a los recursos que incluyan lo siguiente:

Access-Control-Allow-Origin: https://developer.mozilla.org

Limitando los posibles valores Access-Control-Allow-Origin de un conjunto de orgenes permitidos requiere cdigo del lado del servidor para revisar el valor de la encabezado de peticin Origin, comparan con la lista de valores permitidos, y entonces si el valor Origin se encuentra en la lista, para definir el valor de Access-Control-Allow-Origin al mismo valor que Origin.

CORS y cach

Si el servidor enva una respuesta con un valor Access-Control-Allow-Origin que es un origen explcito (en lugar del comodn "*"), entonces a respuesta debera incluir tambin el encabezado de respuesta Vary con el valor origin - para indicar a los navegadores que las respuestas del servidor pueden diferir basadas en el valor del encabezado de respueta Origin.

Access-Control-Allow-Origin: https://developer.mozilla.org
Vary: Origin

Especificaciones

Compatibilidad con navegadores

Vese tambin

• Origin
• Vary
• Cross-Origin Resource Sharing (CORS)