Cross-Origin-Resource-Policy (CORP)

Wat doet hij?

CORP is het spiegelbeeld van CORS: waar CORS gaat over wat de eigen pagina bij een andere origin mag ophalen, bepaalt CORP wat andere origins bij déze resource mogen ophalen. same-origin staat alleen het eigen domein toe, same-site staat subdomeinen toe.

Waarom telt hij mee?

Zonder CORP kunnen andere sites resources zoals afbeeldingen of API-responses inladen en via side-channel-technieken (bijvoorbeeld op basis van laadtijd of afmetingen) informatie afleiden die eigenlijk privé hoort te zijn.

Aanbevolen waarde

Veelgemaakte fout

same-origin gebruiken voor assets die bewust via een CDN op een ander subdomein worden uitgeserveerd, waardoor de eigen site zijn eigen resources blokkeert.

Configuratievoorbeelden

Kant-en-klare snippet om Cross-Origin-Resource-Policy in te stellen, per platform.

add_header Cross-Origin-Resource-Policy "same-site" always;