Same-origin policy (SOP)

De same-origin policy, kortweg SOP, is een beveiligingsregel van de browser. Die beperkt hoe een document of script met bronnen van een andere origin mag omgaan. Bij gewone webadressen wordt de origin bepaald door protocol, hostnaam en poort. Zo blijft de inhoud van verschillende websites van elkaar gescheiden.

Een padwijziging en een originwijziging onderscheiden

Een fictief portaal gebruikt https://portal.example/overview en https://portal.example/settings. Beide adressen hebben dezelfde origin: alleen het pad verschilt. De API op https://api.example/projects heeft een andere hostnaam en dus een andere origin. Er zijn geen verzoeken naar deze voorbeeldadressen verstuurd.

Een gedeelde origin betekent niet dat iedere aangemelde persoon alle projecten of instellingen mag gebruiken. Dat moet de applicatie zelf blijven controleren.

Een verzoek geeft niet altijd leestoegang

Deze regel blokkeert niet elk verzoek naar een andere origin. Afhankelijk van het type kan een verzoek worden verstuurd terwijl het script het antwoord niet mag lezen. MDN onderscheidt daarom onder meer verzenden, insluiten en lezen.

Met CORS kan de doelserver bepalen welke andere origins in de browser toegang tot antwoorden mogen krijgen. Die toestemming vervangt geen authenticatie of autorisatiecontrole op de server. Browserisolatie en toegang tot bedrijfsgegevens blijven verschillende taken.

Bronnen

• MDN — Same-origin policy