Du baust deine App, der Browser wirft einen roten CORS-Fehler, du suchst in einem Forum und kopierst den Fix, der verspricht, dass alles einfach läuft. Meist ist es der schlechtestmögliche. Verstehen wir, was CORS ist und warum diese Abkürzung gefährlich ist.
Was CORS wirklich ist
Standardmäßig lässt der Browser site-a.com nicht die Antwort einer API auf site-b.com lesen. Das ist die Same-Origin-Policy, und sie schützt deine Nutzer: sie verhindert, dass ein bösartiger Tab Daten aus einem anderen Tab liest, in dem du eingeloggt bist. CORS ist der Mechanismus, mit dem dein Server sagt diese bestimmten Origins sind erlaubt, über den Header Access-Control-Allow-Origin.
Der Fehler, der alles kaputtmacht
Das gefährliche Muster ist, jede ankommende Origin zurückzuspiegeln und obendrein Credentials zu erlauben:
Access-Control-Allow-Originauf die anfragende Origin gesetzt (dynamische Reflexion)- zusammen mit
Access-Control-Allow-Credentials: true
Mit dieser Kombination kann jede Website, die dein Nutzer besucht, deine API mit den Session-Cookies des Nutzers aufrufen und die Antwort lesen. Mit anderen Worten: irgendeine Seite kann die privaten Daten deines Nutzers abziehen, ohne dass er es merkt. Der Platzhalter * ist weniger schlimm, weil der Browser verbietet, ihn mit Credentials zu kombinieren, aber er gehört trotzdem nicht in Produktion.
Wie du es richtig konfigurierst
Denk in Verteidigung, nicht in Bequemlichkeit:
- Führe eine Allowlist erlaubter Origins und gleiche sie exakt ab. Spiegle nie zurück, was ankommt, ohne zu validieren.
- Aktiviere
Allow-Credentialsnur, wenn du wirklich Cookies senden musst, und nur für bestimmte Origins. - Beschränke Methoden und Header auf das, was du nutzt (
Allow-Methods,Allow-Headers). - Sei vorsichtig damit,
nulloder Drittanbieter-Subdomains in die Liste aufzunehmen.
Warum es schwer zu erkennen ist
Diese Schwachstelle ist still: alles funktioniert, es gibt keinen sichtbaren Fehler und die App wirkt gesund. Du merkst es erst, wenn jemand sie ausnutzt. Deshalb solltest du deine CORS-Konfiguration bei jedem Deploy explizit prüfen, statt darauf zu vertrauen, dass kein Fehler bedeutet, es passt.
Prüf dein CORS mit Scanaris
Scanaris führt eine reine Lese-Prüfung durch, ob deine API Origins zurückspiegelt und wie sie auf CORS-Header reagiert, ohne Angriffe zu starten oder deine Daten zu berühren: es beobachtet nur die öffentliche Antwort. Findet es ein gefährliches Setup, gibt es dir einen fix prompt, damit deine KI es mit einer Allowlist neu schreibt. Scanne deine Website und vermeide die Schwachstelle, die niemand sieht, bis es zu spät ist.