Uma Cloud Function HTTP recebe métricas de uma origem web de aplicação separada. Qual valor de cabeçalho Access-Control-Allow-Origin permite que apenas essa aplicação publique métricas?

Para permitir que apenas uma aplicação específica publique métricas, o cabeçalho Access-Control-Allow-Origin deve ser configurado com a origem web exata dessa aplicação. Isso garante que apenas requisições provenientes daquele domínio e porta sejam autorizadas, implementando uma política de segurança de Same-Origin Policy (SOP). Definir Access-Control-Allow-Origin: permitiria requisições de qualquer origem, o que é inseguro para este caso. Usar um curinga para subdomínios ou a origem da própria Cloud Function não restringe o acesso apenas à aplicação desejada, permitindo que outras origens também pudessem enviar dados.