CORS não é só colar asterisco!

Eu vi isso na prática quando fui revisar as configs do meu site no cloudflare pages e percebi que tinha deixado o backend exposto.

Eu fiz o básico e joguei o wildcard lá no header.

Funcionou e eu deixei por isso mesmo.

O ruim é que qualquer domínio aleatório podia mandar um fetch no meu endpoint pra floodar o guestbook.

Até tenho rate limit e turnstile no site mas não dá pra confiar só nisso.

Tirei o asterisco e criei uma whitelist com os domínios que realmente importam tipo o meu site e o localhost. agora o código verifica o origin de quem tá chamando.

Se vier de um lugar estranho a api simplesmente não manda o header de volta e o navegador do usuário corta a requisição na raiz.