Raison : L'authentification n'est pas prise en charge si l'en-tête CORS « Access-Control-Allow-Origin » est « * »

Quel est le problème ?

La requête CORS a été tentée avec le drapeau des informations d'identification activé, mais le serveur est configuré en utilisant le caractère générique ("*") comme valeur de Access-Control-Allow-Origin, ce qui n'autorise pas l'utilisation des informations d'identification.

Pour corriger ce problème côté client, assurez-vous que la valeur du drapeau des informations d'identification est false lors de l'émission de votre requête CORS.

• Si vous utilisez l'API Fetch, assurez-vous que Request.credentials est "omit".
• Si la requête est émise en utilisant XMLHttpRequest, assurez-vous de ne pas définir withCredentials sur true.
• Si vous utilisez les évènements envoyés par le serveur, assurez-vous que EventSource.withCredentials est false (c'est la valeur par défaut).

Si, en revanche, vous devez ajuster le comportement du serveur, vous devez modifier la valeur de Access-Control-Allow-Origin pour accorder l'accès à l'origine à partir de laquelle le client est chargé.

Voir aussi

• Les erreurs CORS
• L'entrée du glossaire CORS
• Introduction au CORS