Чи є вайлдкард CORS ризиком для безпеки? Майже ніколи.

Ваше сканування повернулося з рядком, який читається як сигнал тривоги: ваш API відкритий для будь-якого сайту. Або хтось технічний подивився, що віддає ваш сервер, і сказав вам, що у вашому застосунку є вайлдкард CORS, тобто символ *, який, вочевидь, означає всіх.

Ось та частина, яку посібник за посібником переказують хибно: вайлдкард майже ніколи не є тим, що відкрило ваш API. Це вказівка, яку ваш сервер додає до своїх відповідей, адресована браузерам людей, що сидять на інших сайтах, і приходить вона тоді, коли відповідь уже пішла. Звуження заголовка не дає сторінці чужого сайту прочитати ваші дані. Проти того, хто читає їх узагалі без браузера, воно не робить нічого.

Чи є вайлдкард CORS ризиком для безпеки?

Сам по собі майже ніколи. Він стає ним тієї миті, коли за ним відповідає щось приватне.

Вайлдкард це значення * у заголовку відповіді на ім'я Access-Control-Allow-Origin, і воно означає, що код будь-якого сайту може прочитати саме цю відповідь. Звучить як твердження про те, хто може дістатися до ваших даних. Насправді це твердження про те, кому дозволено прочитати те, що ваш сервер уже надіслав.

Адреса, яку перевіряє сканування, це та, з якої віддається ваш застосунок. У більшості білдерів ця адреса роздає ваші сторінки, ваші зображення та ваш скомпільований код, і все це за задумом іде до кожного відвідувача. Вайлдкард на них дає дозвіл читати файли, які будь-хто вже міг завантажити, просто відкривши ваш сайт.

Тож знахідка є питанням, а не вироком, і питання полягає в тому, що стоїть за заголовком. Якщо відповідь це ваша головна сторінка, не сталося нічого. Якщо відповідь це список ваших клієнтів, той список уже був доступний кожному, хто мав адресу.

Що насправді робить Access-Control-Allow-Origin

Він каже браузеру вашого відвідувача, чи дозволено сторінці на екрані зазирнути у відповідь, яку ваш сервер уже надіслав.

Порядок і є всією суттю, і він протилежний до того, як його уявляє собі майже кожен. Сторінка на якомусь чужому сайті виконує шматок коду, що просить у вашого застосунку дані. Запит іде. Ваш сервер його отримує, виконує те, що має виконати, і повертає відповідь повністю. Аж потім браузер читає заголовок тієї відповіді й вирішує, чи передавати вміст сторінці, яка його просила. Посібник MDN про CORS вкладає це в один рядок: сервер має дати згоду через Access-Control-Allow-Origin, щоб поділитися відповіддю зі скриптом.

Ваші дані залишили будівлю в обох випадках. Заголовок вирішує лише те, чи побачить їх один конкретний шматок коду, що виконується в браузері однієї конкретної людини.

Браузер це єдине в цій історії, що читає заголовок. Скрипт на сервері, інструмент командного рядка, скрапер, мобільний застосунок: жоден із них до нього не заглядає, бо писали його для браузера, а браузера тут немає. Вони надсилають той самий запит, отримують ту саму відповідь і читають кожен її байт.

Звуження CORS не робить відкриту адресу приватною

Бо CORS живе всередині браузерів, а той, хто пригощається вашими даними, не має причин ним користуватися.

Це та частина, яка коштує людям пообіддя. Вони бачать знахідку про вайлдкард, звужують заголовок до власного домену, розгортають наново, скануються наново, а адреса, що роздавала рядки клієнтів, роздає рядки клієнтів і далі. Вона робила це завжди. Єдиний відвідувач, якого це коли-небудь спинило, це чужа вебсторінка.

Прочитайте останній рядок двічі, бо саме тут загальна порада розсипається. Звичайний вайлдкард не може бути використаний, щоб прочитати дані вашого авторизованого відвідувача. Браузери відмовляють такому поєднанню навідріз, і посібник MDN про CORS каже це прямо: якщо запит несе куку, а відповідь повертається з Access-Control-Allow-Origin: *, браузер блокує доступ до відповіді й показує помилку CORS у консолі. Тож саме вайлдкард, хоч як дивно, і робить цю конкретну атаку неможливою.

Стовпчик, який справді віддає дані авторизованого користувача, це третій, і для цього серверу треба вписати адресу самого відвідувача у власну відповідь.

Налаштування CORS, яке справді небезпечне

Сервер, що читає заголовок Origin із запиту, вписує те саме значення у власну відповідь і надсилає поруч Access-Control-Allow-Credentials: true.

Ніхто не береться за це навмисно. Воно з'являється наприкінці пообіддя, згаяного на спроби змусити вайлдкард працювати з авторизованими запитами, і на відкриття, що він ніколи не працюватиме. Повернути луною те походження, яке питало, здається виходом: кожен сайт, який має бути дозволений, дозволений, помилки в консолі припиняються, функція виходить у світ. Насправді сервер каже цим, що вирішує сам відвідувач, а до таких належить і сторінка, якої ще ніхто не написав.

Ось що це дозволяє. Ваша клієнтка увійшла у ваш застосунок, і в її браузері лежить кука сесії. В іншій вкладці вона відкриває сайт, що не має до вас жодного стосунку. Код того сайту просить у вашого API її обліковий запис. Її браузер додає куку, бо додавати куки це те, що браузери роблять. Ваш сервер читає Origin, про яке ніколи не чув, ставить його у відповідь як дозвіл і додає, що з обліковими даними все гаразд. Браузер перевіряє, знаходить збіг і передає дані вашої клієнтки сторінці, про яку вона не знала, що та їх читає.

У нашому скануванні за серпень 2026 таке трапилося в 61 з 30 926 застосунків, де перевірка змогла отримати відповідь. З трьох знахідок CORS це єдина, що дотягується до даних за входом у систему.

Як часто трапляється вайлдкард і хто це вирішує

Здебільшого вирішує ваш білдер. У тому самому скануванні 5 727 із тих 30 926 застосунків надсилали вайлдкард, і найкращий одиничний показник того, чи робить це ваш, це платформа, яка його опублікувала.

Перевірка CORS зафіксувала щонайменше одну знахідку в 5 418 із 5 419 застосунків Base44, де отримала відповідь, і у 8 із 18 518 застосунків Lovable. Replit опинився між ними з 1 129 із 3 037. Такий широкий розкид і є тим, як типове налаштування хостингу виглядає ззовні: майже суцільне на одній платформі, майже відсутнє на іншій, через тисячі застосунків, власники яких ніколи нічого між собою не узгоджували.

Три окремі знахідки складають перевірку CORS на всіх 30 926 застосунках: вайлдкард у 5 727 з них, адреса, що відповідає даними без входу, у 3 852, і повернене луною походження у 61. Разом виходить більше, ніж сама перевірка, бо чимало застосунків мають дві з трьох. Кожна цифра тут походить із нашого сканування 30 998 живих vibe-coded застосунків, яке публікує кожну разом із базою, на якій її виміряли.

Те, на що ви можете вплинути, ділиться так само. Вайлдкард надсилає той, хто віддає ваш застосунок, а для vibe-coded застосунку це зазвичай білдер. Що повертається, коли незнайомець просить дані в однієї з ваших адрес, вирішили всередині вашого застосунку, ви або білдер, що пише код від вашого імені.

Як перевірити власний застосунок

Дивитися треба на дві речі, і друга вирішує, чи має все це взагалі значення.

Чи надсилає ваш застосунок вайлдкард? Відкрийте свій застосунок у мережі, натисніть F12, щоб викликати інструменти розробника в браузері, натисніть Network і перезавантажте сторінку. Клацніть перший запит у списку й прочитайте панель Response Headers. Рядок access-control-allow-origin: * і є знахідкою. Якщо такого рядка немає зовсім, ваш сервер не ділиться нічим через межі походження ні з ким.

Що відповідає за ним? Лишайтеся у вкладці Network і перезавантажте свій застосунок, поки ви в системі, стежачи за запитами, що повертаються як JSON. Це й є адреси, з яких ваш застосунок бере дані. Скопіюйте кожне посилання, відкрийте вікно приватного перегляду, щоб бути невходженим, і вставляйте їх по одному. Усе, що повертається зі справжніми рядками замість помилки чи порожнього списку, доступне для читання кожному в інтернеті, хто має те посилання. Це правда сьогодні, хоч би що казав ваш заголовок CORS, і лишається правдою після того, як ви його звузите.

Наше безкоштовне сканування виконує другу перевірку за вас: читає код вашого застосунку в пошуках адрес, які він викликає, звертається до кожної без входу і повідомляє ті, що відповіли даними. Це триває приблизно 20 секунд і не потребує облікового запису: скануйте свій застосунок.

Якщо ваш застосунок говорить із Supabase просто з браузера, є третє місце, куди варто заглянути, бо правила на кожній таблиці вирішують, кому які рядки читати, і увімкнути їх не те саме, що бути захищеним.

Що робити просто зараз

Звичка, яку варто тримати, це прохід без входу по власних адресах даних, бо кожна нова функція додає ще одну, а на екрані нічого не змінюється, коли якась із них починає відповідати. Reeve Care запускає це саме сканування проти вашого застосунку в мережі за розкладом і пише вам, коли результат гіршає: за чим воно стежить і скільки коштує.

Якщо ви радше розберетеся з усім за один раз, 10-хвилинний контрольний список безпеки охоплює це поряд із рештою того, що свіжозапущений застосунок схильний лишати відкритим, а які ключі безпечні у вашому фронтенді це друга половина питання, з яким люди зазвичай приходять.