La política del mismo origen explicada para defensores

Para el navegador, el origen de una página son tres cosas juntas: el esquema (https o http), el host completo y el puerto. Si falta el puerto en la URL, se usa el de su esquema: 443 para https y 80 para http. Dos direcciones son del mismo origen solo si coinciden las tres partes; la ruta, la cadena de consulta y el fragmento no cuentan.

Por eso https://web.example y http://web.example son orígenes distintos (cambia el esquema), igual que https://web.example y https://api.web.example (cambia el host) o https://web.example:8443 (cambia el puerto). Un subdominio de la misma empresa es, para esta regla, tan ajeno como el sitio de otra.

Abre urls-de-la-sesion.txt. La página de referencia es O1, la tienda. Compara cada URL con ella parte por parte: esquema, host y puerto, sin olvidar el puerto por defecto cuando no está escrito.

El sitio es una idea más amplia que el origen: el esquema más el dominio registrable, es decir, el nombre que la empresa registró, sin subdominios y sin mirar el puerto. api.discos-almagre.example y tienda.discos-almagre.example son del mismo sitio aunque sean orígenes distintos. Algunas defensas del navegador trabajan por sitio y no por origen (el atributo SameSite de las cookies, por ejemplo), y por eso un fallo en un subdominio olvidado puede afectar a los demás del mismo sitio.

Usa la nota al pie de urls-de-la-sesion.txt. Cuenta solo las URL con https, sin contar O1.

La política del mismo origen no impide que una página envíe peticiones a otros orígenes: puede cargar scripts, imágenes y hojas de estilo de cualquier parte y enviar formularios a cualquier dirección. Lo que impide es que el código de la página lea la respuesta de otro origen, salvo que ese otro origen lo autorice expresamente (eso es CORS, que la ruta trata en el módulo de cabeceras). La petición llega al servidor, el servidor la procesa y responde; el navegador solo esconde la respuesta.

Para un defensor la consecuencia es directa: la política del mismo origen protege la confidencialidad de las respuestas, no al servidor de recibir acciones que alguien no quiso hacer. Esa protección la pone el servidor.

Abre consola-tienda.txt. Cada línea dice qué intentó la página de la tienda, qué respondió el servidor y qué hizo el navegador con esa respuesta. Fíjate en que el servidor respondió 200 también en la línea bloqueada: la petición llegó y se atendió, solo que la página no pudo leer el resultado.