ERR_BLOCKED_BY_RESPONSE: какой заголовок заблокировал и как починить

Одной и той же сетевой ошибкой оборачиваются четыре разных механизма. Различить их можно по сообщению в консоли DevTools — прочитайте его прежде, чем менять заголовки.

Два из них починить со своей стороны нельзя: X-Frame-Options и frame-ancestors выставляет тот сайт, который вы пытаетесь встроить, и это его осознанный отказ. Клиентского флага, который их обходит, не существует. Посмотрите, что цель отдаёт на самом деле, проверкой HTTP-заголовков, прежде чем считать, что дело в вашей конфигурации.

• Страница с Cross-Origin-Embedder-Policy: require-corp встраивает ресурс без CORP
• COOP: same-origin + popup.open() на другой origin
• X-Frame-Options: DENY при попытке iframe-встраивания
• CORP: same-site + доступ с другого eTLD+1
• Broken CORS preflight с 200 но без Access-Control-Allow-Origin

1. На встраиваемом ресурсе: Cross-Origin-Resource-Policy: cross-origin
2. Если вы владелец обеих сторон: CORP: same-site
3. Для iframes: Cross-Origin-Opener-Policy: unsafe-none (ослабляет)
4. Проверьте HTTP-чекер Enterno — увидите все response headers
5. Для SharedArrayBuffer: COOP + COEP оба на same-origin + require-corp

Проверить безопасность сайта →

• ERR_HTTP_RESPONSE_CODE_FAILURE — ответ не 2xx дошёл до вызывающего, читающего статус
• ERR_EMPTY_RESPONSE — соединение закрыто без данных
• ERR_TOO_MANY_REDIRECTS — петля редиректов

Ошибка ERR_BLOCKED_BY_RESPONSE возникает, когда ответ сервера блокируется политиками безопасности, такими как Cross-Origin Embedder Policy (COEP) или Cross-Origin Resource Policy (CORP). Это может произойти, если ресурсы, загружаемые с других доменов, не соответствуют заданным политикам, что препятствует их отображению. Чтобы устранить эту ошибку, убедитесь, что все загружаемые ресурсы имеют соответствующие заголовки, такие как Cross-Origin-Embedder-Policy: require-corp или Cross-Origin-Resource-Policy: same-origin.

Cross-Origin Embedder Policy (COEP) и Cross-Origin Resource Policy (CORP) — это механизмы безопасности, которые помогают защитить веб-приложения от атак, связанных с межсайтовыми запросами. COEP требует, чтобы все ресурсы, загружаемые с другого домена, имели соответствующие заголовки, подтверждающие их безопасность. Это позволяет браузеру избежать загрузки потенциально небезопасных ресурсов, что, в свою очередь, защищает пользователей от атак, таких как Cross-Site Scripting (XSS).

С другой стороны, CORP определяет, как ресурсы могут быть загружены с других доменов. Если ресурс не имеет соответствующих заголовков, браузер блокирует его загрузку, что может привести к возникновению ошибки ERR_BLOCKED_BY_RESPONSE. Например, если ваш сайт загружает изображение с другого домена, и этот домен не предоставляет заголовок Cross-Origin-Resource-Policy: same-origin, изображение будет заблокировано.

Для устранения ошибки ERR_BLOCKED_BY_RESPONSE необходимо правильно настроить заголовки COEP и CORP на сервере. Рассмотрим пример настройки для веб-сервера Apache. Включите следующие строки в конфигурацию вашего веб-сервера:

Header set Cross-Origin-Embedder-Policy require-corp
Header set Cross-Origin-Resource-Policy same-origin

Эти команды добавят соответствующие заголовки к ответам сервера. Убедитесь, что вы перезапустили сервер после внесения изменений. Для проверки заголовков используйте команду curl -I https://ваш-домен.com. В ответе должны появиться ваши новые заголовки:

HTTP/1.1 200 OK
Cross-Origin-Embedder-Policy: require-corp
Cross-Origin-Resource-Policy: same-origin

Если заголовки применены корректно, это должно устранить ошибку ERR_BLOCKED_BY_RESPONSE и позволить вашему сайту загружать необходимые ресурсы без блокировок.