Origin ヘッダー

構文

Origin: null
Origin: <scheme>://<hostname>
Origin: <scheme>://<hostname>:<port>

ディレクティブ

null

オリジンが「プライバシーに配慮した」ものであるか、HTML 仕様で定義された不透明なオリジンである（具体的な事例は解説の節に掲載されています）。

<scheme>

使用されるプロトコル。 通常、 HTTP プロトコルまたはその保護されたバージョンである HTTPS です。

<hostname>

オリジンサーバーのドメイン名または IP アドレス。

<port> 省略可

サーバーが待ち受けしている TCP ポート番号。 ポート番号が指定されていない場合、リクエストされたサービスの既定のポート番号（HTTP URL の場合は 80 など）が暗黙的に指定されます。

解説

Origin ヘッダーは Referer ヘッダーと似ていますが、パス全体が公開されるわけではなく、 null になることがある点が異なります。 これは、オリジン情報が機密または不要となる場合を除き、オリジンリクエストの「セキュリティコンテキスト」を提供するために使用されます。

大まかに言うと、ユーザーエージェントは Origin リクエストヘッダーを次のものに追加します。

• オリジン間リクエスト
• 同一オリジンリクエスト、ただし GET または HEAD リクエストを除く（すなわち、同一オリジンの POST, OPTIONS, PUT, PATCH, DELETE の各リクエストに追加される。）

上記のルールにはいくつかの例外があります。例えば、オリジンを跨ぐ GET または HEAD リクエストが CORS モード外で行われた場合、 Origin ヘッダーは追加されません。

Origin ヘッダー値は様々な場合に null になることがあります（これがすべてではない）。

• スキームが http, https, ftp, ws, wss, gopher のいずれでもないオリジン（blob, file, data を含む）。
• 別オリジンの画像やメディアデータ（<img>, <video>, <audio> 要素の場合も含む）。
• createDocument() を使用してプログラム的に作成された文書、 data: URL から生成された文書、または作成者の閲覧コンテキストを持たない文書。
• オリジン間のリダイレクト。
• Content-Security-Policy で sandbox ディレクティブが設定されており、その値に allow-same-origin が含まれていない状態で配信される文書。
• iframe のサンドボックス属性が値 allow-same-origin を含んでいない場合。
• ネットワークエラーとなったレスポンス。
• Referrer-Policy が no-referrer に設定され、cors 以外のリクエストモードが設定された場合（単純な形式の投稿など）。

例

Origin: https://developer.mozilla.org

Origin: https://developer.mozilla.org:80

仕様書

ブラウザーの互換性

関連情報

• Host
• Referer
• 同一オリジンポリシー
• When do browsers send the Origin header? When do browsers set the origin to null? (Stack Overflow)