Política del mismo origen (SOP)

La política del mismo origen, o SOP, es una regla de seguridad del navegador. Restringe cómo puede interactuar un documento o script con recursos de otro origen. En las direcciones web normales, el origen depende del protocolo, el nombre de host y el puerto. Así se separa el contenido de sitios diferentes.

Distinguir cambios de ruta y de origen

Un portal ficticio usa https://portal.example/overview y https://portal.example/settings. Ambas direcciones tienen el mismo origen: solo cambia la ruta. La API en https://api.example/projects tiene otro nombre de host y, por tanto, otro origen. No se ha llamado a ningún servicio en estas direcciones de ejemplo.

Compartir origen no significa que todas las personas con sesión iniciada puedan utilizar todos los proyectos o ajustes. La aplicación debe seguir comprobándolo.

Una solicitud no siempre implica acceso de lectura

La SOP no bloquea todas las solicitudes a otro origen. Según el tipo, una solicitud puede enviarse mientras el script no tiene permiso para leer la respuesta. Por eso MDN distingue, entre otras interacciones, envío, incrustación y lectura.

Mediante CORS, el servidor de destino puede especificar qué otros orígenes pueden acceder a las respuestas en el navegador. Ese permiso no sustituye a la autenticación ni a los controles de autorización en el servidor. El aislamiento del navegador y el acceso a los datos de negocio siguen siendo tareas distintas.

Fuentes

• MDN — Same-origin policy