{"id":27538,"date":"2022-08-22T09:15:10","date_gmt":"2022-08-22T07:15:10","guid":{"rendered":"https:\/\/www.makingscience.com\/?p=27538"},"modified":"2022-08-22T09:15:10","modified_gmt":"2022-08-22T07:15:10","slug":"csp-y-cors-que-son-y-por-que-deberias-usarlas","status":"publish","type":"post","link":"https:\/\/www.makingscience.com\/es\/blog\/csp-y-cors-que-son-y-por-que-deberias-usarlas\/","title":{"rendered":"CSP y CORS: \u00bfQu\u00e9 son y por qu\u00e9 deber\u00edas usarlas?"},"content":{"rendered":"

Es muy probable que en alg\u00fan momento de tu vida hayas escuchado por un motivo u otro nombrar CSP o CORS, o ambas cabeceras HTTP, y que si no aclaraste los conceptos recuerdes que ambas cabeceras de seguridad parecen funcionar de manera similar, pero en realidad no es as\u00ed.<\/span><\/p>\n

Cross<\/strong> Origin Resource Sharing (CORS)<\/strong> y Content Security Policy (CSP)<\/strong> son dos cabeceras usadas en el protocolo HTTP que cuando se implementan ayudando a mejorar la seguridad de una aplicaci\u00f3n web.\u00a0<\/span><\/p>\n

Podemos decir que ambas cabeceras HTTP (CORS y CSP) permiten gestionar y controlar mediante una \u201cwhitelist\u201d a los propietarios el origen de los recursos en su aplicaci\u00f3n web, y de este modo aumentar la seguridad del activo digital.<\/span><\/p>\n

 <\/p>\n

CORS<\/b><\/h3>\n

Citando a <\/span>MDN Web Docs:<\/span><\/a><\/p>\n

El Intercambio de Recursos de Origen Cruzado (<\/span><\/i>CORS<\/span><\/i><\/a>) es un mecanismo que utiliza cabeceras <\/span><\/i>HTTP<\/span><\/i><\/a> adicionales para permitir que un <\/span><\/i>user-agent<\/span><\/i><\/a> obtenga permiso para acceder a recursos seleccionados desde un servidor, en un origen distinto (dominio) al que pertenece. Un agente crea una petici\u00f3n HTTP de origen cruzado cuando solicita un recurso desde un dominio distinto, un protocolo o un puerto diferente al del documento que lo gener\u00f3.<\/span><\/i><\/p>\n

Es decir, que si desde una p\u00e1gina web realizamos una petici\u00f3n XHR a otra, el navegador internamente inicia con una solicitud de <\/span>OPTIONS<\/span> de verificaci\u00f3n. Cuando el servidor al que se le ha lanzado la petici\u00f3n responde, verifica la respuesta y eval\u00faa que en la lista de or\u00edgenes permitidos est\u00e1 la web desde la que se lanza la petici\u00f3n.<\/span><\/p>\n

Algunos encabezados clave enviados como respuesta a la solicitud de <\/span>OPTIONS<\/span> comentanda anteriormente son:<\/span><\/p>\n