短.beCORS (Cross-Origin Resource Sharing) とは、Web ブラウザーが異なるオリジン (プロトコル + ドメイン + ポートの組み合わせ) 間でのリソース共有を制御するセキュリティ機構です。同一オリジンポリシーを緩和し、正当なクロスオリジンリクエストを許可するために使われます。
たとえば、https://app.example.com のフロントエンドから https://api.example.com の API にリクエストを送る場合、サブドメインが異なるため「クロスオリジン」となり、API サーバー側で CORS ヘッダーを設定しないとブラウザーがレスポンスをブロックします。設定するヘッダーは Access-Control-Allow-Origin で、許可するオリジンを指定します。
CORS で見落とされがちなのがプリフライトリクエストです。 GET/POST 以外のメソッドや、カスタムヘッダーを含むリクエストでは、ブラウザーが本番リクエストの前に OPTIONS メソッドで「このリクエストを送っていいですか？」と確認します。サーバー側で OPTIONS リクエストに適切に応答しないと、本番リクエストが送信されません。 API Gateway や Lambda で CORS を設定する際に、この OPTIONS の処理を忘れるのが実務上最も多いトラブルです。
Access-Control-Allow-Origin: * (全オリジン許可) は開発時には便利ですが、本番環境では認証情報 (Cookie) を含むリクエストと併用できません。認証が必要な API では、許可するオリジンを明示的に指定し、Access-Control-Allow-Credentials: true を設定する必要があります。
短縮 URL サービスの API を外部から呼び出す場合、CORS の設定が必須です。