Origin

L’en-tête de requête Origin indique la provenance de la requête. Il n’inclut aucune information de chemin, seulement le nom du serveur. Il est envoyé avec les requêtes CORS, ainsi que les requêtes POST. Il est similaire à l’en-tête Referer, mais, contrairement à ce dernier, il n’inclut pas le chemin complet.

Type d’en-tête Request header
Forbidden header name oui

Syntaxe

Origin: ""
Origin: <scheme> "://" <hostname> [ ":" <port> ]

Origin peut être une chaîne vide : c’est utile, par exemple, si la source est une data URL.

Directives

<scheme>
Le protocole utilisé. Il s’agit en général du protocole HTTP ou de sa version sécurisée, HTTPS.
<hostname>
Le nom de domaine du serveur (for virtual hosting) ou l’IP.
<port> Facultatif
Un numéro de port TCP sur lequel le serveur écoute. Si aucun port n’est donné, le port par défaut pour le service demandé (p. ex. 80 pour une URL HTTP) est supposé.

Exemples

Origin: https://developer.mozilla.org

Spécifications

Spécification Commentaire
RFC 6454, section 7: Origin Le concept de Web Origin
Fetch
La définition de 'Origin header' dans cette spécification.		 Remplace l’en-tête Origin tel que défini dans la RFC6454.

Compatibilité des navigateurs

Update compatibility data on GitHub
OrdinateurMobile
ChromeEdgeFirefoxInternet ExplorerOperaSafariWebview AndroidChrome pour AndroidFirefox pour AndroidOpera pour AndroidSafari sur iOSSamsung Internet
OriginChrome Support complet OuiEdge Support complet 12
Notes
Support complet 12
Notes
Notes Not sent with POST requests, see bug 10482384.
Firefox Support complet 59
Notes Désactivée
Support complet 59
Notes Désactivée
Notes Sent with non-CORS requests since Fx59, unless they are GET or HEAD.
Désactivée From version 59: this feature is behind the network.http.sendOriginHeader preference (needs to be set to true). To change preferences in Firefox, visit about:config.
Support partiel Partiel
Notes
Notes Not sent with POST requests until Firefox 58, see bug 446344.
IE Support complet OuiOpera Support complet OuiSafari Support complet OuiWebView Android Support complet OuiChrome Android Support complet OuiFirefox Android Support complet 59
Notes Désactivée
Support complet 59
Notes Désactivée
Notes Sent with non-CORS requests since Fx59, unless they are GET or HEAD.
Désactivée From version 59: this feature is behind the network.http.sendOriginHeader preference (needs to be set to true). To change preferences in Firefox, visit about:config.
Support partiel Partiel
Notes
Notes Not sent with POST requests until Firefox 58, see bug 446344.
Opera Android Support complet OuiSafari iOS Support complet OuiSamsung Internet Android Support complet Oui

Légende

Support complet  
Support complet
Voir les notes d'implémentation.
Voir les notes d'implémentation.
Une action explicite de l'utilisateur est nécessaire pour activer cette fonctionnalité.
Une action explicite de l'utilisateur est nécessaire pour activer cette fonctionnalité.

Voir aussi

Sujets associés
  1. HTTP
  2. Guides:
  3. Resources and URIs
    1. Identifying resources on the Web
    2. Data URIs
    3. Introduction to MIME Types
    4. Complete list of MIME Types
    5. Choosing between www and non-www URLs
  4. HTTP guide
    1. Basics of HTTP
    2. Overview of HTTP
    3. Evolution of HTTP
    4. HTTP Messages
    5. A typical HTTP session
    6. Connection management in HTTP/1.x
    7. Protocol upgrade mechanism
  5. HTTP security
    1. Content Security Policy (CSP)
    2. HTTP Public Key Pinning (HPKP)
    3. HTTP Strict Transport Security (HSTS)
    4. Cookie security
    5. X-Content-Type-Options
    6. X-Frame-Options
    7. X-XSS-Protection
    8. Mozilla web security guidelines
    9. Mozilla Observatory
  6. HTTP access control (CORS)
  7. HTTP authentication
  8. HTTP caching
  9. HTTP compression
  10. HTTP conditional requests
  11. HTTP content negotiation
  12. HTTP cookies
  13. HTTP range requests
  14. HTTP redirects
  15. HTTP specifications
  16. Feature policy
  17. References:
  18. HTTP headers
    1. Accept
    2. Accept-CH [Traduire]
    3. Accept-CH-Lifetime [Traduire]
    4. Accept-Charset
    5. Accept-Encoding
    6. Accept-Language
    7. Accept-Patch [Traduire]
    8. Accept-Ranges [Traduire]
    9. Access-Control-Allow-Credentials
    10. Access-Control-Allow-Headers [Traduire]
    11. Access-Control-Allow-Methods
    12. Access-Control-Allow-Origin
    13. Access-Control-Expose-Headers [Traduire]
    14. Access-Control-Max-Age [Traduire]
    15. Access-Control-Request-Headers
    16. Access-Control-Request-Method [Traduire]
    17. Age
    18. Allow
    19. Alt-Svc [Traduire]
    20. Authorization
    21. Cache-Control
    22. Clear-Site-Data [Traduire]
    23. Connection
    24. Content-Disposition
    25. Content-Encoding [Traduire]
    26. Content-Language
    27. Content-Length
    28. Content-Location [Traduire]
    29. Content-Range [Traduire]
    30. Politique de sécurité de contenu
    31. Content-Security-Policy-Report-Only [Traduire]
    32. Content-Type
    33. Cookie [Traduire]
    34. Cookie2 [Traduire]
    35. Cross-Origin-Resource-Policy [Traduire]
    36. DNT
    37. DPR [Traduire]
    38. Date
    39. Device-Memory [Traduire]
    40. Digest [Traduire]
    41. ETag
    42. Early-Data [Traduire]
    43. Expect [Traduire]
    44. Expect-CT [Traduire]
    45. Expires
    46. Feature-Policy [Traduire]
    47. Forwarded [Traduire]
    48. From [Traduire]
    49. Host
    50. If-Match [Traduire]
    51. If-Modified-Since
    52. If-None-Match
    53. If-Range [Traduire]
    54. If-Unmodified-Since [Traduire]
    55. Index [Traduire]
    56. Keep-Alive
    57. Large-Allocation [Traduire]
    58. Last-Modified
    59. Link [Traduire]
    60. Location [Traduire]
    61. Origin
    62. Pragma
    63. Proxy-Authenticate [Traduire]
    64. Proxy-Authorization [Traduire]
    65. Public-Key-Pins [Traduire]
    66. Public-Key-Pins-Report-Only [Traduire]
    67. Range [Traduire]
    68. Referer
    69. Referrer-Policy [Traduire]
    70. Retry-After [Traduire]
    71. Save-Data [Traduire]
    72. Sec-WebSocket-Accept [Traduire]
    73. Serveur
    74. Server-Timing [Traduire]
    75. Set-Cookie
    76. Set-Cookie2 [Traduire]
    77. SourceMap [Traduire]
    78. HTTP Strict Transport Security
    79. TE [Traduire]
    80. Timing-Allow-Origin [Traduire]
    81. Tk [Traduire]
    82. Trailer
    83. Transfer-Encoding [Traduire]
    84. Upgrade-Insecure-Requests [Traduire]
    85. User-Agent [Traduire]
    86. Vary
    87. Via [Traduire]
    88. WWW-Authenticate
    89. Want-Digest [Traduire]
    90. Warning [Traduire]
    91. X-Content-Type-Options
    92. X-DNS-Prefetch-Control [Traduire]
    93. X-Forwarded-For [Traduire]
    94. X-Forwarded-Host [Traduire]
    95. X-Forwarded-Proto [Traduire]
    96. X-Frame-Options
    97. X-XSS-Protection [Traduire]
  19. HTTP request methods
    1. CONNECT
    2. DELETE
    3. GET
    4. HEAD
    5. OPTIONS
    6. PATCH
    7. POST
    8. PUT
    9. TRACE [Traduire]
  20. HTTP response status codes
    1. 100 Continue
    2. 101 Switching Protocol
    3. 103 Early Hints
    4. 200 OK
    5. 201 Created
    6. 202 Accepted
    7. 203 Non-Authoritative Information
    8. 204 No Content
    9. 205 Reset Content
    10. 206 Partial Content
    11. 300 Multiple Choices
    12. 301 Moved Permanently
    13. 302 Found
    14. 303 See Other
    15. 304 Not Modified
    16. 307 Temporary Redirect
    17. 308 Permanent Redirect
    18. 400 Bad Request
    19. 401 Unauthorized
    20. 402 Payment Required
    21. 403 Forbidden
    22. 404 Not Found
    23. 405 Method Not Allowed
    24. 406 Not Acceptable
    25. 407 Proxy Authentication Required
    26. 408 Request Timeout
    27. 409 Conflict
    28. 410 Gone
    29. 411 Length Required
    30. 412 Precondition Failed
    31. 413 Payload Too Large
    32. 414 URI Too Long
    33. 415 Unsupported Media Type
    34. 416 Range Not Satisfiable
    35. 417 Expectation Failed
    36. 418 I'm a teapot (je suis une théière)
    37. 422 Unprocessable Entity
    38. 425 Too Early
    39. 426 Upgrade Required
    40. 428 Precondition Required
    41. 429 Too Many Requests
    42. 431 Request Header Fields Too Large
    43. 451 Unavailable For Legal Reasons
    44. 500 Internal Server Error
    45. 501 Not Implemented
    46. 502 Bad Gateway
    47. 503 Service Unavailable
    48. 504 Gateway Timeout
    49. 505 HTTP Version Not Supported
    50. 506 Variant Also Negotiates [Traduire]
    51. 507 Insufficient Storage [Traduire]
    52. 508 Loop Detected [Traduire]
    53. 510 Not Extended [Traduire]
    54. 511 Network Authentication Required
  21. CSP directives
    1. CSP: base-uri [Traduire]
    2. CSP: block-all-mixed-content
    3. CSP: child-src [Traduire]
    4. CSP: connect-src [Traduire]
    5. CSP: default-src [Traduire]
    6. CSP: font-src [Traduire]
    7. CSP: form-action [Traduire]
    8. CSP: frame-ancestors [Traduire]
    9. CSP: frame-src [Traduire]
    10. CSP: img-src [Traduire]
    11. CSP: manifest-src [Traduire]
    12. CSP: media-src [Traduire]
    13. CSP: navigate-to [Traduire]
    14. CSP: object-src [Traduire]
    15. CSP: plugin-types [Traduire]
    16. CSP: prefetch-src [Traduire]
    17. CSP: referrer [Traduire]
    18. CSP: report-to [Traduire]
    19. CSP: report-uri [Traduire]
    20. CSP: require-sri-for [Traduire]
    21. CSP: sandbox [Traduire]
    22. CSP: script-src [Traduire]
    23. CSP: script-src-attr [Traduire]
    24. CSP: script-src-elem [Traduire]
    25. CSP: style-src [Traduire]
    26. CSP: style-src-attr [Traduire]
    27. CSP: style-src-elem [Traduire]
    28. CSP: trusted-types [Traduire]
    29. CSP: upgrade-insecure-requests
    30. CSP: worker-src [Traduire]
  22. CORS errors
    1. Raison: CORS désactiver
    2. Reason: CORS header 'Access-Control-Allow-Origin' does not match 'xyz' [Traduire]
    3. Raison : l’en-tête CORS « Access-Control-Allow-Origin » est manquant.
    4. Reason: CORS header ‘Origin’ cannot be added [Traduire]
    5. Reason: CORS preflight channel did not succeed [Traduire]
    6. Raison: la requête CORS a échoué
    7. Reason: CORS request external redirect not allowed [Traduire]
    8. Reason: CORS request not HTTP
    9. Reason: Credential is not supported if the CORS header ‘Access-Control-Allow-Origin’ is ‘*’ [Traduire]
    10. Reason: Did not find method in CORS header ‘Access-Control-Allow-Methods’ [Traduire]
    11. Reason: Multiple CORS header 'Access-Control-Allow-Origin' not allowed [Traduire]
    12. Reason: expected ‘true’ in CORS header ‘Access-Control-Allow-Credentials’ [Traduire]
    13. Reason: invalid token ‘xyz’ in CORS header ‘Access-Control-Allow-Headers’ [Traduire]
    14. Reason: invalid token ‘xyz’ in CORS header ‘Access-Control-Allow-Methods’ [Traduire]
    15. Reason: missing token ‘xyz’ in CORS header ‘Access-Control-Allow-Headers’ from CORS preflight channel [Traduire]
  23. Feature-Policy directives
    1. Feature-Policy: accelerometer [Traduire]
    2. Feature-Policy: ambient-light-sensor [Traduire]
    3. Feature-Policy: autoplay [Traduire]
    4. Feature-Policy: battery [Traduire]
    5. Feature-Policy: camera [Traduire]
    6. Feature-Policy: display-capture [Traduire]
    7. Feature-Policy: document-domain [Traduire]
    8. Feature-Policy: encrypted-media [Traduire]
    9. Feature-Policy: fullscreen [Traduire]
    10. Feature-Policy: geolocation [Traduire]
    11. Feature-Policy: gyroscope [Traduire]
    12. Feature-Policy: layout-animations [Traduire]
    13. Feature-Policy: legacy-image-formats [Traduire]
    14. Feature-Policy: magnetometer [Traduire]
    15. Feature-Policy: microphone [Traduire]
    16. Feature-Policy: midi [Traduire]
    17. Feature-Policy: oversized-images [Traduire]
    18. Feature-Policy: payment [Traduire]
    19. Feature-Policy: picture-in-picture [Traduire]
    20. Feature-Policy: publickey-credentials [Traduire]
    21. Feature-Policy: speaker [Traduire]
    22. Feature-Policy: sync-xhr [Traduire]
    23. Feature-Policy: unoptimized-images [Traduire]
    24. Feature-Policy: unsized-media [Traduire]
    25. Feature-Policy: usb [Traduire]
    26. Feature-Policy: vibrate [Traduire]
    27. Feature-Policy: vr [Traduire]
    28. Feature-Policy: wake-lock [Traduire]
    29. Feature-Policy: xr [Traduire]
    30. Feature-Policy: xr-spatial-tracking [Traduire]