Um site estático não autenticado (www.example.com) hospedado no Amazon S3 e entregue via CloudFront usa o AWS WAF. O site inclui um formulário de registro que chama um endpoint do Amazon API Gateway, que invoca uma função Lambda que encaminha dados para uma API externa. Durante o teste, o envio aciona um erro de CORS. A origem do CloudFront está configurada para incluir um cabeçalho Access-Control-Allow-Origin definido como www.example.com. O que o arquiteto de soluções deve fazer para corrigir o erro de CORS?

O erro de CORS ocorre porque o navegador bloqueia solicitações de script de origem cruzada. Para resolver isso, a API que está sendo chamada (neste caso, o API Gateway) precisa incluir o cabeçalho Access-Control-Allow-Origin na sua resposta, indicando quais origens têm permissão para acessá-la. Habilitar o CORS no API Gateway e configurá-lo para retornar o cabeçalho Access-Control-Allow-Origin com www.example.com permitirá que o navegador do cliente aceite a resposta da API. Modificar a configuração de CORS do bucket S3 não resolverá o problema, pois o S3 está servindo o site estático, não a API. O AWS WAF não lida com a lógica de CORS; ele é um firewall de aplicação web. Habilitar CORS na função Lambda não é suficiente, pois o API Gateway é o ponto de entrada e precisa ser configurado para lidar com os cabeçalhos CORS antes de invocar a Lambda.