CORS Politikası Nedir?

Modern web uygulamaları, farklı kaynaklardan veri alışverişi yaparken güvenliği sağlamak için çeşitli mekanizmalar kullanır. Bunlardan biri olan CORS (Cross-Origin Resource Sharing) politikası, web tarayıcılarının çapraz kaynak isteklerini nasıl yöneteceğini belirler. Peki, CORS politikası tam olarak nedir ve neden bu kadar önemlidir? 

CORS'un ne olduğunu, nasıl çalıştığını, hangi durumlarda sorunlara yol açtığını ve çözüm yöntemlerini detaylı bir şekilde ele alacağız.

CORS (Cross-Origin Resource Sharing) Politikası Nedir?

CORS, bir web sayfasının farklı bir domain, protokol veya port üzerinden kaynak talep etmesine izin veren bir güvenlik mekanizmasıdır. Tarayıcılar, varsayılan olarak aynı kaynak politikası (Same-Origin Policy - SOP) nedeniyle çapraz kaynak isteklerini engeller. CORS politikası, bu kısıtlamayı kontrollü bir şekilde esneterek güvenli veri paylaşımını mümkün kılar.

CORS Neden Önemlidir?

CORS (Cross-Origin Resource Sharing), modern web güvenliğinin temel taşlarından biridir. Güvenlik açıklarını önleyerek kötü niyetli sitelerin başka kaynaklardan veri çalmasını engeller. Aynı zamanda, API erişimini düzenleyerek backend servislerinin hangi frontend uygulamalarla iletişim kurabileceğini kontrol eder. Bunun yanında, farklı domainler arasında dinamik içerik paylaşımını güvenli hale getirerek modern web uygulamalarının esnek ve güvenli çalışmasını sağlar. Kısacası, CORS olmadan çapraz kaynak veri paylaşımı büyük güvenlik riskleri taşıyabilir.

• Güvenlik Açıklarını Önler: Kötü niyetli sitelerin başka bir siteden veri çalmasını engeller.
• API Erişimini Düzenler: Backend servislerinin hangi frontend uygulamalardan istek kabul edeceğini belirler.
• Dinamik İçerik Paylaşımını Kolaylaştırır: Farklı domainler arasında güvenli veri transferi sağlar.

CORS Nasıl Çalışır?

İstek Gönderilir: Bir web uygulaması (örneğin, https://orneksite.com) başka bir domain’deki (https://api.site.com) API’ye istek yapar.

Tarayıcı Ön Kontrol Yapar: Tarayıcı, güvenlik nedeniyle önce bir OPTIONS isteği (preflight request) göndererek sunucunun izin verip vermediğini sorgular.

Sunucu Yanıt Verir: Sunucu, Access-Control-Allow-Origin gibi başlıklarla hangi kaynaklara izin verdiğini belirtir.

Gerçek İstek Onaylanırsa İşlem Tamamlanır: Eğer sunucu izin veriyorsa, asıl istek (GET, POST vb.) işlenir.

CORS Hataları Nelerdir?

"No 'Access-Control-Allow-Origin' Header" Hatası: Sunucu, isteği gönderen kaynağı beyaz listeye eklememiştir. 

• Backend’de Access-Control-Allow-Origin: * veya belirli domainler eklenmelidir.
• Proxy sunucu kullanılabilir.

Preflight İsteğinin Reddedilmesi: Sunucu OPTIONS metoduna yanıt vermiyordur. 

• API’nizin CORS ayarlarını kontrol edin.
• Nginx/Apache üzerinden CORS başlıkları ekleyin.

CORS Politikasını Doğru Yapılandırma Yöntemleri

Backend Tarafında CORS Ayarları

CORS (Cross-Origin Resource Sharing) politikaları, sunucu tarafında yapılandırılması gereken kritik güvenlik ayarlarıdır. Tarayıcılar, varsayılan olarak farklı kaynaklardan (origin) gelen istekleri engeller. Bu nedenle, backend geliştiricilerin API'lerine erişim izni vermek için CORS başlıklarını doğru şekilde ayarlaması gerekir.

Node.js (Express) Örneği:

const express = require('express');const cors = require('cors');const app = express(); app.use(cors({ origin:'https://orneksite.com' }));

PHP Örneği:

header("Access-Control-Allow-Origin: https://ornek.site");header("Access-Control-Allow-Methods: GET, POST, OPTIONS");

Sunucu (Nginx/Apache) Üzerinden CORS Ekleme

Web sunucuları üzerinden doğrudan CORS (Cross-Origin Resource Sharing) politikalarını yönetmek, özellikle birden fazla backend servisi veya statik dosya sunuyorsanız kritik öneme sahiptir. Nginx ve Apache gibi popüler web sunucularında CORS başlıklarını yapılandırarak, API'lerinize veya kaynaklarınıza güvenli erişim sağlayabilirsiniz.

Nginx Konfigürasyonu:

location / {add_header 'Access-Control-Allow-Origin' 'https://orneksite.com'add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';}

CDN veya Proxy Kullanımı

Cloudflare veya benzeri CDN’ler, CORS başlıklarını otomatik olarak ekleyebilir.

CORS politikası, modern web geliştirmede çapraz kaynak güvenliğini sağlamak için kritik bir rol oynar. Doğru yapılandırılmadığında API erişim sorunlarına yol açabilir, bu nedenle geliştiricilerin CORS mekanizmasını iyi anlaması ve uygulaması gerekir.

Eğer bir frontend-backend entegrasyonunda CORS hataları alıyorsanız, sunucu ayarlarınızı ve izin başlıklarınızı kontrol etmeyi unutmayın.