Same-Origin Policy
Reguła bezpieczeństwa przeglądarki: strona może odczytywać dane tylko z tego samego „źródła” (ten sam schemat, host i port) — dzięki temu złośliwa witryna nie przeczyta Twojej zalogowanej poczty Gmail.
Źródło: https://example.com = (https, example.com, 443). Subdomeny to osobne źródła. Polityka dotyczy dostępu z JavaScriptu (DOM, XHR, fetch, ciasteczka). Są trzy typowe wyjątki i rozszerzenia: CORS (serwer może dopuścić żądania międzydomenowe za pomocą nagłówków), postMessage (jawna komunikacja między oknami) oraz JSONP (stary trik: dane przez znacznik <script>). CSRF i clickjacking to ataki żerujące na lukach w modelu SOP.