Politique de même origine (SOP)

La politique de même origine, ou SOP, est une règle de sécurité du navigateur. Elle limite la manière dont un document ou un script peut interagir avec les ressources d’une autre origine. Pour les adresses web ordinaires, l’origine dépend du protocole, du nom d’hôte et du port. Les contenus de sites différents sont ainsi séparés.

Distinguer changement de chemin et d’origine

Un portail fictif utilise https://portal.example/overview et https://portal.example/settings. Ces adresses ont la même origine : seul le chemin change. L’API à l’adresse https://api.example/projects a un autre nom d’hôte, donc une autre origine. Ces adresses d’exemple n’ont fait l’objet d’aucun appel.

Une origine commune ne signifie pas que chaque personne connectée puisse utiliser tous les projets ou réglages. L’application doit continuer à le vérifier elle-même.

Une requête n’implique pas toujours un droit de lecture

La SOP ne bloque pas toutes les requêtes vers une autre origine. Selon le type, une requête peut être envoyée alors que le script n’a pas le droit de lire la réponse. MDN distingue donc notamment envoi, intégration et lecture.

Avec CORS, le serveur cible peut préciser quelles autres origines peuvent accéder aux réponses dans le navigateur. Cette autorisation ne remplace ni l’authentification ni les contrôles de droits côté serveur. Isolation du navigateur et accès aux données métier restent des tâches distinctes.

Sources

• MDN — Same-origin policy