CORS wildcard com credenciais

Por que importa

Tecnicamente inválido, mas muitos clientes toleram — transformando qualquer site num cliente autenticado.

Como corrigir

Troque o wildcard por uma lista explícita de origins confiáveis.

Verificar a correção

curl -sI -H 'Origin: https://example.com' https://seu-app.com | grep -i allow-origin

Referências

• MDN — HTTP headers
• OWASP Secure Headers Project