HTTP-заголовок Origin запроса указывает источник (схему, имя хоста и порт), который инициировал запрос. Например, если пользовательскому агенту необходимо запросить ресурсы, включённые в страницу или загружаемые выполняемыми им скриптами, источник страницы может быть указан в запросе.

Синтаксис

Origin: null
Origin: <scheme>://<hostname>
Origin: <scheme>://<hostname>:<port>

Директивы

null

Источник «чувствителен к конфиденциальности» или является непрозрачным источником (конкретные случаи перечислены в разделе «Описание»).

<scheme>

Используемый протокол. Обычно это протокол HTTP или его защищённая версия HTTPS.

<hostname>

Доменное имя или IP-адрес исходного сервера.

<port> Необязательно

Номер порта, на котором сервер ожидает подключения. Если порт не указан, из схемы подразумевается порт по умолчанию для запрашиваемой службы (например, 80 для URL HTTP).

Описание

Заголовок Origin похож на заголовок Referer, но не раскрывает путь и может быть null. Он используется для предоставления контекста безопасности запроса к источнику, за исключением случаев, когда информация об источнике может быть конфиденциальной или не нужна.

В целом пользовательские агенты добавляют заголовок запроса Origin для:

• междоменных запросов.
• одноисточниковых запросов, кроме запросов GET или HEAD (то есть он добавляется к одноисточниковым запросам POST, OPTIONS, PUT, PATCH и DELETE).

Из приведённых выше правил есть исключения. Например, если междоменный запрос GET или HEAD выполняется в режиме no-cors, заголовок Origin не добавляется.

Значение заголовка Origin может быть null в ряде случаев, включая (но не ограничиваясь ими):

• Источники со схемой, отличной от http, https, ftp, ws, wss или gopher (включая blob, file и data).
• Междоменные изображения и медиаданные, в том числе в элементах <img>, <video> и <audio>.
• Документы, созданные программно с помощью createDocument(), полученные из URL data: или не имеющие контекста просмотра-создателя.
• Перенаправления между источниками.
• Документы, обслуживаемые с помощью директивы sandbox заголовка Content-Security-Policy, значение которой не включает allow-same-origin.
• iframe с атрибутом sandbox, значение которого не включает allow-same-origin.
• Ответы, являющиеся сетевыми ошибками.
• Referrer-Policy, заданная как no-referrer для режимов запросов, отличных от cors (например, обычных отправок форм).

Примеры

Origin: https://developer.mozilla.org

Origin: https://developer.mozilla.org:80

Спецификации

Совместимость с браузерами

См. также

• Host
• Referer
• Политика одного источника
• Когда браузеры отправляют заголовок Origin? В каких случаях браузеры устанавливают для источника значение null? (Stack Overflow)