Orígenes permitidos
Limitar los orígenes del navegador que pueden enviarse a un formulario público.
Utilice orígenes HTTPS exactos
Un origen contiene esquema, nombre de host y puerto opcional, sin ruta. Enumere el sitio de producción y solo los orígenes de desarrollo o vista previa que apoya intencionalmente.
Verificar en el navegador
Pruebe la página implementada porque file://, los puertos de host local, los nombres de host de vista previa y los alias www tienen orígenes diferentes. Inspeccione la respuesta bloqueada en lugar de adivinar desde la interfaz de usuario.
Tratar la política de origen como una capa
Los clientes sin navegador pueden falsificar encabezados. La validación de esquemas, los límites de velocidad, los controles de spam y la supervisión siguen siendo necesarios.
Documentación revisada el 20 de octubre de 2026Sugerir una mejora →