CORS
Die Regeln dafür, wann eine Webseite die API einer anderen Domain aus dem Browser heraus aufrufen darf.
Standardregel: Eine Seite auf thern.io darf example.com/api nicht ohne Erlaubnis per Fetch anrufen. Der Server muss Access-Control-Allow-Origin: https://thern.io in seiner Antwort mitschicken.
Schützt davor, dass eine bösartige Seite deine eingeloggten Daten von einer anderen Seite ausliest. Reiner Browserschutz — Server-zu-Server-Aufrufe sind davon nicht betroffen.