Apa itu CORS?

Dahulu, ketika awal mula perkembangan teknologi internet, muncul masalah pemalsuan permintaan lintas situs (CSRF). Masalah ini mengirimkan permintaan klien palsu dari peramban korban ke aplikasi lain.

Misalnya, korban masuk ke aplikasi bank mereka. Kemudian mereka diperdaya untuk memuat sebuah situs web eksternal di tab peramban baru. Situs web eksternal tersebut kemudian menggunakan kredensial cookie korban dan meneruskan data ke aplikasi bank dengan berpura-pura sebagai korban. Pengguna yang tidak sah ini kemudian memiliki akses yang tidak diinginkan ke aplikasi bank.

Untuk mencegah masalah CSRF tersebut, kini semua peramban menerapkan kebijakan asal yang sama.

Kebijakan asal yang sama

Saat ini, peramban menerapkan kebijakan bahwa klien hanya dapat mengirim permintaan ke sumber daya dengan asal yang sama dengan URL klien. Protokol, port, dan nama host URL klien harus cocok dengan server yang diminta.

Misalnya, perhatikan perbandingan asal untuk URL di bawah ini dengan URL klien http://store.aws.com/dir/page.html.

URL	Hasil	Alasan
http://store.aws.com/dir2/new.html	Asal yang sama	Hanya jalurnya yang berbeda
http://store.aws.com/dir/inner/other.html	Asal yang sama	Hanya jalurnya yang berbeda
https://store.aws.com/page.html	Asal yang berbeda	Protokol yang berbeda
http://store.aws.com:81/dir/page.html	Asal yang berbeda	Port yang berbeda (http:// adalah port 80 secara default)
http://news.aws.com/dir/page.html	Asal yang berbeda	Host yang berbeda

Jadi, kebijakan asal yang sama sangatlah aman, tetapi tidak fleksibel untuk kasus penggunaan asli.

Berbagi sumber daya lintas asal (CORS) adalah perluasan dari kebijakan asal yang sama. Anda membutuhkannya untuk berbagi sumber daya yang sah dengan pihak ketiga eksternal. Misalnya, Anda memerlukan CORS saat ingin menarik data dari API eksternal yang bersifat publik atau sah. Anda juga memerlukan CORS jika ingin memberi pihak ketiga yang sah akses ke sumber daya server milik Anda sendiri.

Dalam HTTP, metode permintaan adalah operasi data yang klien ingin agar dilakukan oleh server. Metode HTTP umum mencakup GET, POST, PUT, dan DELETE.

Dalam interaksi berbagi sumber daya lintas asal (CORS) umum, peramban akan mengirimkan header permintaan dan kontrol akses pada saat yang bersamaan. Hal ini biasanya berupa permintaan data GET dan dianggap sebagai risiko rendah.

Namun, beberapa permintaan HTTP dianggap kompleks dan memerlukan konfirmasi server sebelum permintaan yang sebenarnya dikirim. Proses prapersetujuan tersebut disebut sebagai permintaan preflight.

Permintaan lintas asal yang kompleks

Permintaan lintas asal dianggap kompleks jika permintaan tersebut menggunakan salah satu dari hal berikut ini:

• Metode selain dari GET, POST, atau HEAD
• Header selain dari Accept-Language, Accept, atau Content-Language
• Header Content-Type selain dari multipart/form-data, application/x-www-form-urlencoded, atau text/plain

Misalnya, permintaan untuk menghapus atau memodifikasi data yang ada dianggap sebagai permintaan yang kompleks.

Cara kerja permintaan preflight

Jika diperlukan, peramban akan membuat permintaan preflight. Ini adalah sebuah permintaan OPTIONS seperti berikut ini.

OPTIONS /data HTTP/1.1 Asal: https://example.com Access-Control-Request-Method: DELETE

Peramban akan mengirimkan permintaan preflight sebelum mengirimkan pesan permintaan yang sebenarnya. Server harus menanggapi permintaan preflight dengan informasi mengenai permintaan lintas asal yang akan diterima server dari URL klien. Header respons server harus menyertakan hal-hal berikut:

• Access-Control-Allow-Methods
• Access-Control-Allow-Headers
• Access-Control-Allow-Origin

Contoh respons server adalah sebagai berikut.

HTTP/1.1 200 OK Access-Control-Allow-Headers: Content-Type Access-Control-Allow-Origin: https://news.example.com Access-Control-Allow-Methods: GET, DELETE, HEAD, OPTIONS

Terkadang, respons preflight akan menyertakan header Access-Control-Max-Age tambahan. Metrik ini menentukan durasi (dalam detik) bagi peramban untuk membuat cache hasil preflight di peramban. Pembuatan Cache akan memungkinkan peramban untuk mengirimkan beberapa permintaan kompleks di antara permintaan-permintaan preflight. Peramban tidak harus mengirimkan permintaan preflight lain hingga waktu yang ditentukan oleh max-age terlewati.

 

Anda perlu melakukan hal-hal berikut ini saat mengonfigurasi berbagi sumber daya lintas asal (CORS) di server Anda.

Tentukan daftar akses yang sesuai

Menggunakan daftar yang dipisahkan koma untuk memberikan akses ke domain-domain individu baik untuk dilakukan. Hindari menggunakan wildcard kecuali jika Anda ingin membuat API publik. Menggunakan wildcard dan ekspresi reguler dapat mengakibatkan kerentanan.

Misalnya, Anda menulis ekspresi reguler yang memberikan akses ke semua situs dengan akhiran permitted-website.com. Dengan satu ekspresi, Anda telah memberikan akses ke api.permitted-website.com dan news.permitted-website.com. Namun, Anda juga secara tidak sengaja memberikan akses ke situs yang tidak sah, yang mungkin menggunakan domain seperti maliciouspermitted-website.com.

Hindari menggunakan asal null dalam daftar Anda

Beberapa peramban akan mengirimkan nilai null dalam header permintaan untuk skenario-skenario tertentu seperti permintaan file atau permintaan dari host lokal.

Namun, Anda tidak boleh menyertakan nilai null dalam daftar akses Anda. Hal ini juga akan memunculkan risiko keamanan karena permintaan yang tidak sah yang berisi header null mungkin akan mendapatkan akses.