Un sitio web estático no autenticado (www.example.com) alojado en Amazon S3 y entregado a través de CloudFront utiliza AWS WAF. El sitio incluye un formulario de registro que llama a un endpoint de Amazon API Gateway, el cual invoca una función Lambda que reenvía datos a una API externa. Durante las pruebas, el envío activa un error CORS. El origen de CloudFront está configurado para incluir un encabezado Access-Control-Allow-Origin establecido en www.example.com. ¿Qué debe hacer el arquitecto de soluciones para corregir el error CORS?

El error CORS ocurre cuando un navegador web bloquea solicitudes de un origen a otro origen diferente por motivos de seguridad. En este escenario, el sitio web (www.example.com) está haciendo una solicitud a la API Gateway, que es un origen diferente. Para resolver esto, la API Gateway debe configurarse para incluir los encabezados CORS apropiados en sus respuestas, específicamente Access-Control-Allow-Origin: www.example.com, indicando que las solicitudes desde www.example.com son permitidas. Modificar la configuración CORS del bucket de S3 no es suficiente porque la solicitud CORS se dirige a la API Gateway, no al bucket de S3. AWS WAF no gestiona la configuración CORS; su función es proteger la aplicación web de ataques. Habilitar CORS en la función Lambda no es el lugar correcto, ya que la API Gateway es la que interactúa directamente con el cliente y debe manejar los encabezados CORS antes de invocar la función Lambda.