Заголовок ответа HTTP Access-Control-Allow-Credentials сообщает браузерам, разрешает ли сервер включать учётные данные в междоменные HTTP-запросы.

К учётным данным относятся файлы cookie, клиентские сертификаты Transport Layer Security (TLS) или заголовки аутентификации, содержащие имя пользователя и пароль. По умолчанию эти учётные данные не отправляются в междоменных запросах, а их отправка может сделать сайт уязвимым для атак межсайтовой подделки запросов (CSRF).

Клиент может запросить включение учётных данных в межсайтовые запросы несколькими способами:

• С помощью fetch(), задав параметру credentials значение "include".
• С помощью XMLHttpRequest, задав свойству XMLHttpRequest.withCredentials значение true.
• С помощью EventSource(), задав свойству EventSource.withCredentials значение true.

Если учётные данные включены:

• Для запросов с предварительной проверкой: предварительный запрос не содержит учётных данных. Если в ответе сервера на предварительный запрос заголовок Access-Control-Allow-Credentials имеет значение true, фактический запрос будет содержать учётные данные; в противном случае браузер сообщит об ошибке сети.
• Для запросов без предварительной проверки: запрос будет содержать учётные данные. Если в ответе сервера заголовок Access-Control-Allow-Credentials не имеет значения true, браузер сообщит об ошибке сети.

Синтаксис

Access-Control-Allow-Credentials: true

Директивы

true

Сервер разрешает включать учётные данные в междоменные HTTP-запросы. Это единственное допустимое значение для этого заголовка; оно чувствительно к регистру. Если учётные данные не нужны, полностью опустите этот заголовок, а не задавайте ему значение false.

Примеры

Разрешение на отправку учётных данных:

Access-Control-Allow-Credentials: true

Использование fetch() с учётными данными:

fetch(url, {
  credentials: "include",
});

Использование XMLHttpRequest с учётными данными:

const xhr = new XMLHttpRequest();
xhr.open("GET", "http://example.com/", true);
xhr.withCredentials = true;
xhr.send(null);

Спецификации

Совместимость с браузерами

См. также

• XMLHttpRequest.withCredentials
• Request()