J'ai deux serveurs, A et B. Je veux que le serveur B n'accepte que les requêtes HTTP du serveur A. Est-ce que "access-control-allow-origin" est une méthode sécurisée pour mettre en œuvre cela?
Réponse
Trop de publicités?
vidarlo
Points
3169
Non.
Les en-têtes HTTP sont envoyés du serveur au client, ou du client au serveur. Cela est efficace pour protéger un client coopérant contre les attaques sur le client, mais ce n'est pas efficace pour protéger le serveur contre quoi que ce soit. Tout client est libre de l'ignorer s'il le souhaite; il n'y a rien que le serveur puisse faire pour l'imposer.
Implémentez une authentification réelle, telle que des certificats client TLS, des jetons d'accès ou un schéma similaire.
