CORS in Action

Introducción completa a CORS (Cross-Origin Resource Sharing), el mecanismo con el que el navegador permite que una página pida datos a un servidor de otro dominio. Monsur Hossain, ingeniero de Google y creador del sitio enable-cors.org, lo explica desde los dos lados: el cliente que hace la petición y el servidor que la autoriza. Se publicó en 2014, cuando CORS ya funcionaba en los navegadores modernos y empezaba a ser la norma para las APIs públicas. Está pensado para desarrolladores web que manejan JavaScript con soltura, sin experiencia previa en CORS.

El libro arranca con la política del mismo origen y explica cómo hacer peticiones CORS desde el navegador con XMLHttpRequest. Luego dedica una parte entera al servidor: cómo atender las peticiones CORS con cabeceras como Access-Control-Allow-Origin, y cómo funcionan las peticiones preflight. De estas explica qué son, cuándo se disparan, cómo detectarlas y responderlas (métodos y cabeceras permitidos, rechazo de solicitudes) y cómo usar la caché de preflight. También trata el envío de cookies y credenciales, la exposición de cabeceras de respuesta, la seguridad, el rendimiento y la depuración con las herramientas del navegador. Por último, explica cuándo conviene usar alternativas como JSON-P o un proxy del lado del servidor.

No es un libro de proyectos: avanza con ejemplos de cliente y servidor que muestran cada cabecera y cada caso límite. Su valor está en aclarar uno de los errores más frecuentes y peor entendidos del desarrollo web, y en dar buenas prácticas para diseñar APIs accesibles desde otros dominios. Tiene ya algunos años: no cubre fetch() ni las políticas más recientes de cookies (SameSite) o de aislamiento de origen, pero los fundamentos del protocolo apenas han cambiado. Conviene saber algo de HTTP y de cómo funciona un servidor web antes de leerlo.