Заголовок ответа Access-Control-Allow-Credentials сообщает браузерам, следует ли отображать ответ коду JavaScript на стороне клиента, когда режим авторизации запроса (Request.credentials) равен include.

Когда режим авторизации запроса (Request.credentials) равен include, браузеры будут отображать ответ коду JavaScript на стороне клиента только в том случае, если значение Access-Control-Allow-Credentials равно true.

Учётные данные включают куки, заголовки авторизации или TLS-сертификаты клиента.

Когда используется в ответе на предварительный запрос, это указывает, может ли фактический запрос быть выполнен с использованием учётных данных. Обратите внимание, что простые запросы GET не являются предварительными. Таким образом, если запрос на ресурс с учётными данными выполняется, и этот заголовок не возвращается с ресурсом, браузер игнорирует ответ и не возвращает его веб-контенту.

Заголовок Access-Control-Allow-Credentials работает совместно со свойством XMLHttpRequest.withCredentials или с опцией credentials в конструкторе Request() API Fetch. Для запроса CORS с учётными данными, чтобы браузеры отобразили ответ коду JavaScript на стороне клиента, и сервер (используя заголовок Access-Control-Allow-Credentials ), и клиент (установив режим авторизации для запроса XHR, Fetch или Ajax) должны указать, что они согласны включать учётные данные.

Тип заголовка	Заголовок ответа
Запрещённое имя заголовка	нет

Access-Control-Allow-Credentials: true

Access-Control-Allow-Credentials: true

const xhr = new XMLHttpRequest();
xhr.open('GET', 'http://example.com/', true);
xhr.withCredentials = true;
xhr.send(null);

fetch(url, {
  credentials: 'include'
})