In breve: Access-Control-Allow-Origin — indica che l’operazione non si completa come previsto nell’area HTTP, browser e API.
Indice dei contenuti
Access-Control-Allow-Origin: significato
Le prime ipotesi da verificare per “Access-Control-Allow-Origin” sono metodo, header o corpo non rispettano il contratto della risorsa; proxy, cache o CDN modificano la richiesta o la risposta.
Sintomi e cause probabili
Sintomi da verificare
- Il messaggio “Access-Control-Allow-Origin” compare durante un’operazione ripetibile.
- La funzione coinvolta in HTTP, browser e API non raggiunge il risultato previsto.
- Il log dell’area HTTP, browser e API registra un evento nello stesso minuto della prova.
- Il comportamento osservato in HTTP, browser e API cambia in base a utente, rete, file o configurazione.
Cause probabili
- Metodo, header o corpo non rispettano il contratto della risorsa
- Proxy, cache o CDN modificano la richiesta o la risposta
- Client e server non concordano protocollo o formato
- Un limite o una regola di sicurezza interrompe lo scambio
Diagnosi passo per passo
- Registrare URL, metodo e codice di stato completi
- Confrontare header di richiesta e risposta
- Ripetere senza cache con una richiesta minima
- Correlare il test con i log di origin e proxy
Log e dati da controllare
- DevTools, scheda Network
- log del server web o dell’applicazione
- log di proxy, CDN o WAF
Correzioni sicure
- Correggere metodo, URL, header o corpo indicati dal codice HTTP
- Allineare proxy, cache e origin senza alterare il contratto della risorsa
- Ridurre la richiesta solo se il limite è stato misurato
- Gestire esplicitamente redirect, stato e formato della risposta
- Ripetere la stessa richiesta e confrontare status, header e log
Verifica finale
- La stessa richiesta riceve la risposta prevista
- Metodo, header e corpo sono coerenti
- Non compaiono redirect o tentativi inattesi
- I log confermano il medesimo esito
Errori da evitare
- Non cambiare metodo per nascondere l’errore
- Non disattivare CORS, CSP o WAF globalmente
- Non svuotare tutte le cache prima di raccogliere gli header
- Non considerare equivalenti codici HTTP differenti
Guide Xlogic correlate
- Errore CORS: richiesta preflight restituisce 403
- Mixed Content bloccato dal browser
- CSP frame-ancestors: pagina bloccata in iframe
Fonti tecniche
Domande frequenti
Che cosa significa “Access-Control-Allow-Origin”?
Access-Control-Allow-Origin — indica che l’operazione non si completa come previsto nell’area HTTP, browser e API.
Da cosa può dipendere “Access-Control-Allow-Origin”?
Le cause da verificare per “Access-Control-Allow-Origin” sono: metodo, header o corpo non rispettano il contratto della risorsa; proxy, cache o CDN modificano la richiesta o la risposta; client e server non concordano protocollo o formato.
Quali controlli eseguire per “Access-Control-Allow-Origin”?
Per diagnosticare “Access-Control-Allow-Origin”, controlla nell’ordine: registrare URL, metodo e codice di stato completi; confrontare header di richiesta e risposta; ripetere senza cache con una richiesta minima. La soluzione è confermata quando la stessa richiesta riceve la risposta prevista; metodo, header e corpo sono coerenti.