Перейти к содержимому
Skip to content
API Тарифы EN Войти
← Все HTTP-заголовки
CORS

Access-Control-Allow-Origin

Определяет, какие домены могут читать ответ — основной заголовок CORS.

Синтаксис

Access-Control-Allow-Origin: * | <источник>

Пример

Access-Control-Allow-Origin: https://example.com

Описание

Access-Control-Allow-Origin — самый важный заголовок CORS. Сообщает браузеру, какие домены могут получить доступ к ответу.

Значение: конкретный источник (например, https://example.com) или *. * нельзя использовать с credentials.

Для безопасности избегайте * на чувствительных эндпоинтах. Проверяйте Origin по белому списку. Добавляйте Vary: Origin.

Проверьте, правильно ли ваш сайт отправляет этот заголовок

Проверить заголовки →

Связанные статьи

HTTP-методы: GET, POST, PUT, DELETE и другие
Полное руководство по HTTP-методам — GET, POST, PUT, PATCH, DELETE, HEAD, OPTIONS. Семантика, применение и лучшие практики для REST API.
CORS: руководство по Cross-Origin Resource Sharing
Как работает CORS — кросс-доменные запросы, preflight-проверки, заголовки, типичные ошибки и правильная настройка для вашего веб-приложения.
HTTP кэширование: Cache-Control, ETag, Expires
Подробное руководство по HTTP кэшированию: заголовки Cache-Control, ETag, Expires, Last-Modified. Как настроить кэширование для ускорения сайта.

Связанные заголовки

Access-Control-Allow-Credentials
Указывает, может ли ответ на кросс-origin запрос с учётными данными быть доступен JavaScript.
Access-Control-Allow-Headers
Указывает разрешённые HTTP-заголовки в кросс-доменном запросе после preflight.
Access-Control-Allow-Methods
Указывает разрешённые HTTP-методы при кросс-доменном доступе в ответе preflight.
Access-Control-Max-Age
Указывает, как долго результаты CORS preflight-запроса могут кешироваться.

Начните мониторинг бесплатно

Зарегистрируйтесь и получите доступ к API, мониторингу и уведомлениям

Создать аккаунт Документация API