Una Cloud Function HTTP recibe métricas de un origen web de una aplicación independiente. ¿Qué valor de encabezado Access-Control-Allow-Origin permite que solo esa aplicación publique métricas?

Para permitir que solo una aplicación específica publique métricas en una Cloud Function HTTP, el encabezado Access-Control-Allow-Origin debe especificar el origen web exacto de esa aplicación. Esto implementa la política de mismo origen (Same-Origin Policy) de forma segura, evitando ataques de falsificación de solicitudes entre sitios (CSRF) y otras vulnerabilidades de seguridad. Access-Control-Allow-Origin: permitiría que cualquier origen realice solicitudes, lo cual es inseguro. Un comodín para todos los subdominios de la aplicación sería demasiado permisivo si la intención es restringir a un origen exacto. El propio origen de la Cloud Function no es relevante para el origen del cliente que realiza la solicitud.