Verificar Origin y Referer en el servidor

Origin lleva solo el origen de la página que inició la petición (esquema, host y puerto, sin ruta). Los navegadores la envían en las peticiones entre orígenes y en todas las que no son GET ni HEAD, también dentro del mismo origen. Referer lleva la dirección de la página anterior, a veces completa y a veces recortada según su política de referencia, y puede faltar.

La comprobación razonable usa Origin cuando viene; si falta, extrae el origen del Referer; y en los dos casos compara el origen completo contra una lista exacta de orígenes permitidos.

Abre verifica_origen.py. Comparar con «empieza por» no es comparar el origen: cualquier host cuyo nombre empiece con la misma cadena pasa la prueba, aunque pertenezca a otro dominio registrable. Lo mismo ocurre con «contiene» o con una expresión regular sin anclar. Después busca en registro-origen.txt la consecuencia.

A veces el navegador envía Origin: null: desde documentos aislados con sandbox, tras redirecciones entre orígenes, desde esquemas como data: o file: y en algunos casos por la política de referencia. Ese valor no identifica a nadie, y una página ajena puede producir contextos que lo generan. La guía de OWASP es clara: el literal null no se pone nunca en una lista de permitidos.

Que falten las dos cabeceras no prueba que la petición sea propia. Un servidor que en ese caso deja pasar hace que la comprobación entera dependa de que el navegador las mande. Para acciones que cambian estado, la decisión prudente es rechazar si no hay otra defensa que la sostenga. Cuenta en el registro las veces que la comprobación dejó pasar ese caso; ignora lo que no es POST.

Con los tres defectos a la vista (prefijo, null y ausencia), la corrección se escribe en una frase que el equipo pueda convertir en código y en pruebas. La comprobación de origen complementa al token, no lo reemplaza.