Configurer les headers CORS pour les API

CORS (Cross-Origin Resource Sharing)

Le problème

Par défaut, les navigateurs bloquent les requêtes JavaScript vers un domaine différent (politique same-origin). CORS permet d'autoriser ces requêtes.

PHP

header('Access-Control-Allow-Origin: https://votresite.ca');\nheader('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');\nheader('Access-Control-Allow-Headers: Content-Type, Authorization');\n\nif ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {\n    http_response_code(204);\n    exit;\n}

.htaccess

Header set Access-Control-Allow-Origin "https://votresite.ca"\nHeader set Access-Control-Allow-Methods "GET, POST, OPTIONS"\nHeader set Access-Control-Allow-Headers "Content-Type, Authorization"

Sécurité

• N'utilisez PAS * en production — spécifiez les domaines autorisés
• Limitez les méthodes HTTP autorisées
• Limitez les headers autorisés