Dalam pengembangan aplikasi web fullstack, pesan galat Cross-Origin Resource Sharing (CORS) di konsol browser adalah momok harian yang kerap memicu keputusasaan insinyur frontend dan backend. Di tengah desakan tenggat waktu perilisan fitur, respons instan yang paling sering diambil adalah mencari solusi cepat di internet: memasang middleware yang memancarkan header Access-Control-Allow-Origin: * ke seluruh respons server tanpa pandang bulu.

Banyak pengembang keliru memandang CORS sebagai firewall pelindung backend. Padahal, CORS secara arsitektural adalah mekanisme keamanan di sisi klien (client-side security boundary) yang diterapkan oleh browser untuk mengatur apakah sebuah skrip JavaScript dari satu domain diizinkan membaca respons data yang diambil dari domain lain. Mengabaikan prinsip dasar mekanisme ini dan menerapkan konfigurasi wildcard secara membabi buta pada endpoint API yang menangani data pengguna sensitif adalah undangan terbuka bagi serangan siber pencurian data.

Mitos Wildcard dan Bahaya Pemantulan Header Origin Sembarangan

Spesifikasi resmi W3C/WHATWG sebenarnya melarang browser menggabungkan wildcard (*) dengan kredensial otentikasi (Access-Control-Allow-Credentials: true). Jika server memancarkan Access-Control-Allow-Origin: *, browser secara otomatis menolak menyertakan cookie sesi HTTP-only atau header Authorization dalam permintaan cross-origin.

Namun, demi mengatasi larangan keamanan browser tersebut, banyak pustaka dan tutorial backend mengajarkan teknik yang jauh lebih berbahaya: memantulkan kembali (origin reflection) nilai header Origin yang dikirimkan oleh klien ke dalam header respons:

// Anti-pattern berbahaya yang sering ditemukan di kode produksi
app.use((req, res, next) => {
  const origin = req.headers.origin;
  if (origin) {
    res.setHeader('Access-Control-Allow-Origin', origin);
    res.setHeader('Access-Control-Allow-Credentials', 'true');
  }
  next();
});

Pola kode di atas secara efektif meruntuhkan seluruh pertahanan browser:

  • Eksfiltrasi Data Melalui Situs Jebakan: Jika seorang pengguna yang telah login ke layanan perbankan atau dashboard internal Anda mengunjungi situs web berbahaya milik penyerang, skrip jahat di situs tersebut dapat mengirim permintaan AJAX ke API server Anda. Karena server memantulkan kembali origin jahat tersebut disertai izin kredensial, browser korban akan patuh mengirimkan cookie autentikasi dan mengizinkan skrip penyerang membaca data profil, nomor rekening, hingga riwayat transaksi korban secara penuh.
  • Celah Regex Parsial yang Rapuh: Pendekatan lain yang kerap gagal adalah validasi origin menggunakan ekspresi reguler (regex) tanpa pembatas awal dan akhir yang ketat. Menggunakan pengecekan longgar seperti /tujuhcahaya\.com/ dapat dengan mudah dikelabui penyerang dengan mendaftarkan domain seperti tujuhcahaya.com.attacker.site atau evil-tujuhcahaya.com.

Merancang Tata Kelola CORS yang Kokoh dan Disiplin

Membangun pertahanan API yang tangguh menuntut kebijakan keamanan ketat yang tidak mengorbankan fungsionalitas aplikasi:

  1. Gunakan Whitelist Domain Eksplisit dengan Validasi Ketat: Hindari pemantulan otomatis. Simpan daftar domain frontend resmi yang diizinkan di dalam variabel lingkungan (environment variables). Periksa header Origin secara deterministik menggunakan pencocokan string absolut atau regex yang dijangkarkan secara presisi (^https:\/\/(app|admin)\.perusahaan\.com$). Jika origin pengirim tidak terdaftar dalam whitelist, jangan pernah pancarkan header Access-Control-Allow-Origin.
  2. Pisahkan Arsitektur API Publik dan Rute Terotentikasi: Rancang arsitektur API secara modular. Endpoint publik yang memang ditujukan untuk konsumsi umum (seperti katalog berita publik atau feed RSS) dapat diberikan wildcard tanpa kredensial. Sebaliknya, rute bisnis yang mengelola data pengguna (user state), pengaturan akun, dan transaksi finansial wajib dikunci dalam rute terotentikasi dengan isolasi domain yang disiplin.
  3. Optimalkan Konfigurasi Preflight Caching: Permintaan HTTP cross-origin non-sederhana memicu permintaan preflight (OPTIONS) yang menambah beban latensi round-trip ke server. Manfaatkan header Access-Control-Max-Age (misalnya 86400 detik atau 24 jam) agar browser menyimpan izin preflight di dalam cache lokal, sehingga interaksi pengguna tetap berlangsung responsif tanpa mengorbankan postur keamanan sistem.

Keamanan sistem informasi tidak pernah dibangun di atas fondasi jalan pintas. Menjinakkan galat CORS melalui pemahaman spesifikasi protokol yang benar adalah tanda kematangan rekayasa perangkat lunak modern.