CORSとは？こるす
CORSとは、同一オリジンポリシーで塞がれている応答の読み取りを、サーバが名指しした相手にだけ開ける仕組み。応答のAccess-Control-Allow-Originヘッダで許すオリジンを示し、その宣言に従って実際に読ませるかどうかを判断・強制するのはブラウザ側になる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
業務システムを画面とAPIに分ける作りや、他社サービスをブラウザから直接呼ぶ作りが一般化すると、オリジンをまたぐ読み取りを一律に禁じたままでは実装できない。かといって制限を外せば防御の土台が崩れる。そこで、開ける相手をサーバが宣言し、ブラウザが強制するという形の例外が用意された。シラバスではアプリケーションセキュリティの用語例として同一生成元ポリシーと並ぶ。
具体例
独自ヘッダを付ける要求やPUT・DELETEでは、本体の前にOPTIONSによる事前確認が飛び、許可されて初めて本番の要求が送られる。Cookieを伴う呼び出しを許すにはAllow-Credentialsをtrueにする必要があり、このときAllow-Originにワイルドカードは使えず具体的なオリジンを返さなければならない。
試験での引っ掛け
CORSは制限を緩めるための設定であって、防御機能ではない点。要求のOriginヘッダをそのまま反射してAllow-Originに載せる実装は、事実上どのサイトからでも読める状態であり、認証付きAPIでは情報漏えいに直結する。サーバ側の許可リストと照合してから返すのが正しい。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (6) アプリケーションセキュリティに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。