Same-origin policy

La same-origin policy restreint la manière dont un document ou un script chargé depuis une origine peut interagir avec une autre ressource chargée depuis une autre origine.

Définition de l'origine

Deux pages ont la même origine si le protocole, le port (si spécifié) et l'hôte sont les mêmes pour les deux pages. Le tableau suivant présente des comparaisons d'origines pour l'URL https://store.company.com/dir/page.html:

Voir aussi origin definition for file: URLs.

Les cookies utilisent une définition de l'origine différente de celle qui vient d'être définie.

Changer l'origine

Une page peut changer son origine dans une certaine mesure. Un script peut définir la valeur de document.domain vers un suffix du domaine courant. S'il procéde ainsi, le domaine le plus court sera utilisé pour les prochaines vérifications d'origines. Par exemple, un script dans la page https://store.company.com/dir/other.html exécute le code suivant :

document.domain = "company.com";

Après l'exécution de ce code, la page passerait le test d'origine avec https://company.com/dir/page.html. Ceci-dit, il ne serait pas possible de définir document.domain à othercompany.com.

Le numéro de port est stocké par le navigateur spéparément. Tout appel aux setter, y compris document.domain = document.domain entraîne l'effacement du port par la valeur null. Une page située sur company.com:8080 ne peut donc pas commhniquer avec une autre située sur company.com en ne définissant que document.domain = "company.com" dans la première page. Ceci doit être fait dans les deux pages, ainsi les ports seront à null pour les deux.

Accès réseau cross-origin

La same-origin policy contrôle les interactions entre deux origines différentes, quand vous utilisez XMLHttpRequest par exemple. Ces interactions sont généralement rangées dans trois catégories :

• Écritures cross-origin génarelement autorisées. Par exemple, les liens, les redirections ou les envois de formulaires. Quelques rares requêtes HTTP nécessitent preflight.
• Embarqué cross-origin généralement autorisé. Les exemples sont listés ci-après.
• Lectures cross-origin généralement non autorisées.

Voici quelques exemples de ressources qui peuvent être embarqués malgré leur origine incomptatible avec la same-orin policy :

• JavaScript avec <script src="..."></script>. Les messages d'erreur de syntaxe ne sont disponibles que pour les script ayant la même origine.
• CSS avec <link rel="stylesheet" href="...">. Étant donnée la souplesse des règles de syntaxe du CSS, les CSS d'origine différentes nécessitent une entête Content-Type correcte. Les restrictions varient selon les navigateurs : IE, Firefox, Chrome, Safari et Opera.
• Images avec <img>. Les formats d'image supportés, comprenant PNG, JPEG, GIF, BMP, SVG, ...
• Fichiers média avec <video> et <audio>.
• Plug-ins avec <object>, <embed> et <applet>.
• Fonts avec @font-face. Certain navigateurs autorisent les fonts cross-origin, d'autres appliquent la same-origin policy pour les fonts.
• N'importe quoi avec <frame> et <iframe>. Un site peut utiliser l'entête X-Frame-Options pour interdire cela depuis une page n'ayant pas la même origine.

Autoriser l'accès cross-origin

Utiliser CORS pour autoriser l'accès cross-origin.

Comment bloquer l'accès cross-origin access

• Pour interdire les écritures cross-origin writes, contrôlez dans la requête un token qui ne peut être déviné, connu sous le nom de Cross-Site Request Forgery (CSRF) token, et interdisez la lecture cross-origin des pages qui conaissent ce token.
• Pour interdire la lecture cross-origin d'une ressource, assurez-vous qu'elle ne peut pas être embarquée.
• Pour interdire l'embarquement (embed) d'une ressource cross-origin, assurez vous qu'elle ne peut pas être interprétée comme une des ressources embarquable vues précédemment. Dans la plupart des cas, les navigateurs ne respectent pas le Content-Type. Par exemple, pour un tag <script> pointant un document HTML, le navigateur va tenter de parser le HTML comme du JavaScript. Si votre ressource n'est pas un point d'entrée de votre site, vous pouvez également utiliser une token CSRF.

Accès script cross-origin

Les APIs JavaScript comme iframe.contentWindow, window.parent, window.open et window.opener autorisent les documents à se référencer directement entre eux. Quand deux documents n'ont pas la même origine, ces références fournissent des accès limités aux objets Window et Location.  Certains navigateurs permettent l'accès à plus de propriétés que ce que les spécifications permettent. A la place, vous pouvez utiliser window.postMessage pour communiquer entre deux documents.

Voir aussi

• Same-origin policy for file: URIs
• Same-Origin Policy at W3C