איך מתקנים CORS עם Access-Control-Allow-Origin: *
Access-Control-Allow-Origin: * מאפשר לכל אתר לקרוא תשובות מהשרת שלכם שלא דורשות התחברות. הסכנה הגדולה יותר היא שרת שמחזיר לכל אתר את הכתובת שלו ומאשר גם התחברות — אז אתר זדוני יכול לקרוא מידע של משתמש מחובר. הפתרון בשני המקרים: רשימה מפורשת של האתרים שאתם סומכים עליהם.
איך מתקנים
שרת האתר שלכם
איפה: המקום שבו מוגדר CORS (הגדרות השרת או קוד האפליקציה)
Replace Access-Control-Allow-Origin: * with an explicit allowlist, e.g. Access-Control-Allow-Origin: https://yourdomain.com
התו הכללי `*` מאפשר לכל אתר לקרוא תגובות שדורשות התחברות. החליפו אותו ברשימה של המקורות המדויקים שאתם סומכים עליהם.
איך בודקים שזה עבד: סרקו שוב — ממצא ה-CORS אמור להיעלם.
לא בטוחים אם האתר שלכם צריך את התיקון הזה? הסריקה בודקת את זה ועוד עשרות דברים, ומראה מה חסר אצלכם.
לסריקה חינמית של האתר