CORS и безопасность

Сервер разрешает браузерные запросы с любого origin: Access-Control-Allow-Origin: *. Разрешённые методы: GET, POST, OPTIONS; заголовки: Authorization, Content-Type. Preflight OPTIONS возвращает 204 без тела.

Для fetch используйте credentials: 'omit'. Cookie не нужны; режим запросов с cookie не поддерживается CORS этого API. Ответы API имеют Cache-Control: no-store.

• В рабочей среде используйте HTTPS. HTTP подходит только для локальной разработки.
• Храните токен как пароль: не отправляйте в URL, аналитику и логи. В мобильном приложении используйте защищённое хранилище ОС.
• Не отключайте проверку TLS в серверных клиентах. Не собирайте чужие пароли в недоверенных приложениях.
• Проверяйте права на сервере вашего приложения. Отображение роли в интерфейсе само по себе не защищает действия.