Same-Origin Policy
Regola di sicurezza del browser: una pagina può leggere solo dati provenienti dalla stessa «origine» (stesso schema + host + porta). Impedisce a un sito malevolo di leggere i dati del tuo Gmail con la sessione aperta.
Origine: https://example.com = (https, example.com, 443). I sottodomini sono origini diverse. La regola governa l'accesso da JavaScript (DOM, XHR, fetch, cookie). Tre eccezioni o estensioni comuni: CORS (il server può consentire richieste cross-origin tramite header), postMessage (comunicazione esplicita tra finestre) e JSONP (vecchio espediente: dati inviati tramite il tag <script>). CSRF e clickjacking sono attacchi che sfruttano le lacune del modello SOP.