Origines autorisées
Les origines autorisées sont les sites qui peuvent envoyer des enregistrements au projet avec sa clé publique. Elles se gèrent dans Réglages › Origines autorisées.
- Liste vide : tout site est accepté. C’est le cas d’un nouveau projet ; le dashboard le signale.
- Liste non vide : un envoi dont l’origine n’y figure pas est refusé (403
origin_not_allowed). Le SDK cesse alors d’enregistrer la page, avec un avertissement dans la console (Envoi des enregistrements).
Une modification est prise en compte aussitôt.
Une origine, c’est un protocole, un domaine et un port, sans chemin, paramètres ni fragment :
| Saisie | Origine enregistrée |
|---|---|
https://www.exemple.fr |
https://www.exemple.fr |
https://www.exemple.fr/ |
https://www.exemple.fr |
HTTPS://WWW.Exemple.fr:443 |
https://www.exemple.fr |
http://localhost:5173 |
http://localhost:5173 |
https://www.exemple.fr/boutique |
refusée : chemin |
https://*.exemple.fr |
refusée : pas de joker |
L’origine est enregistrée telle que les navigateurs l’envoient (minuscules, sans le port par défaut, domaine internationalisé en punycode), puis comparée à l’identique : https://exemple.fr et https://www.exemple.fr sont deux origines différentes.
Une origine par environnement
Section intitulée « Une origine par environnement »Ajoute chaque adresse depuis laquelle ton application est servie :
- la production :
https://www.exemple.fr(ethttps://exemple.frsi les deux servent l’application) ; - la préproduction :
https://preprod.exemple.fr; - le développement local :
http://localhost:5173, avec le port de ton serveur de dev.
Une origine oubliée ne casse pas ton application : seules ses sessions ne sont pas enregistrées.