Was ist die Cross-Origin-Resource-Policy?

Eine geschützte Ressourcenkapsel liegt in drei abgegrenzten Herkunftszonen, deren Schleusen gleiche, verwandte und fremde Zugriffe unterschiedlich behandeln

CORP schützt Antworten vor bestimmten unerwünschten Einbindungen und ist Teil der Cross-Origin-Isolation-Mechanismen. Der Header wird von der ausliefernden Ressource gesetzt. Er ist nicht mit CORS gleichzusetzen: CORS steuert, ob Scriptcode Antworten lesen darf; CORP kann bereits die no-cors-Einbindung der Ressource verhindern.

Die schnelle Definition

Cross-Origin-Resource-Policy, kurz CORP, ist ein HTTP-Antwortheader. Er weist kompatible Browser an, no-cors-Abrufe einer Ressource aus nicht erlaubten Origins oder Sites zu blockieren. Die Werte same-origin, same-site und cross-origin legen fest, wie weit eine Ressource eingebettet werden darf.

Warum ist Cross Origin Resource Policy wichtig?

Die Policy reduziert Risiken durch fremde Einbettung und Cross-Origin-Leaks. Gleichzeitig kann eine zu strenge Regel Bilder, Schriften, Skripte, Downloads oder CDN-Ressourcen auf legitimen Seiten blockieren. Die richtige Einstellung folgt daher der tatsächlichen Verwendungsgrenze jeder Ressourcengruppe.

So wird Cross Origin Resource Policy in der Praxis eingesetzt

Ressourcen inventarisieren: dokumentieren, welche Assets nur auf derselben Origin, innerhalb derselben Site oder öffentlich cross-origin genutzt werden sollen.
Policy gezielt setzen: same-origin für origin-interne Ressourcen, same-site für passende Subdomain-Szenarien oder cross-origin für bewusst öffentlich einbettbare Assets verwenden.
Mit CORS und COEP abstimmen: Headerkombinationen, Credentials, CDN-Domains und Isolation in den vorgesehenen Browsern gemeinsam testen.
Fehler beobachten: Browser-Konsole, Netzwerkfehler, CSP-Berichte und reale Einbettungspfade nach der Auslieferung kontrollieren.

Praxisbeispiel

Eine Anwendung liefert interne Kontodokumente mit CORP same-origin aus. Öffentliche Produktbilder auf einer separaten CDN-Origin erhalten dagegen eine bewusst passende Policy und werden auf allen erlaubten Shopdomains getestet. Die Einstellung erfolgt nicht pauschal für jedes Dateiformat.

Häufige Fehler

CORP wird als Ersatz für Authentifizierung oder Autorisierung behandelt, obwohl sensible Ressourcen weiterhin serverseitig geschützt werden müssen.
same-origin wird global gesetzt, ohne legitime CDN-, Subdomain- oder Partner-Einbindungen zu testen.
CORS, CORP, COEP und COOP werden verwechselt und inkonsistente Header erzeugen schwer nachvollziehbare Browserfehler.

Bedeutung für Google, Bing und KI-Suchsysteme

CORP ist kein direkter SEO-Faktor. Eine falsche Policy kann jedoch renderrelevante Ressourcen blockieren und damit Darstellung, Bedienbarkeit oder technische Prüfbarkeit beeinträchtigen. Suchcrawler und Browser verhalten sich nicht in jedem Kontext identisch; reale Browser-QA bleibt notwendig.