Een bedrijf host een client-side web-app in een S3-bucket en levert deze via CloudFront op https://www.example.com. De ontwikkelaar consolideert veelvoorkomende JavaScript- en webfontbestanden in een centrale S3-bucket voor hergebruik door meerdere dochtersites, maar browsers blokkeren die gedeelde JS- en fontbestanden tijdens het testen. Wat moet de ontwikkelaar doen zodat browsers de gedeelde JavaScript-bestanden en webfonts kunnen gebruiken in de andere webapplicaties?

Browsers blokkeren standaard cross-origin verzoeken om beveiligingsredenen. Om gedeelde JavaScript-bestanden en webfonts vanuit een centrale S3-bucket te kunnen laden in webapplicaties die op andere domeinen (origins) draaien, is een Cross-Origin Resource Sharing (CORS)-configuratie op de centrale S3-bucket vereist. Deze configuratie specificeert welke origins toegang hebben tot de bronnen in de bucket en welke HTTP-methoden zijn toegestaan. Het maken van S3 access points is bedoeld voor het beheren van toegang tot objecten op schaal, niet voor het oplossen van browserbeveiligingsbeperkingen zoals CORS. Een bucket policy die expliciet toegang toestaat, verleent weliswaar toegang op S3-niveau, maar lost het browserbeveiligingsprobleem van cross-origin verzoeken niet op. Het toevoegen van een Content-MD5 header is voor berichtintegriteitscontrole en heeft geen betrekking op CORS-problematiek.