Как в nginx разрешить запросы только с одного домена?

Question

[210mev]

Доброе время суток.

Такой вопрос, больше про защиту API в целом наверное.
Сам сервер: Nginx -> pm2 -> NodeJS.
На API будут идти POST и GET запросы только с нескольких, определенных доменов. IP нельзя гарантировать что будут у них одни и те же постоянно. Как в таком случае можно защитить API? Включить CORS только для этих доменов? Или еще что то нужно, можно сделать?

Answer 1

[Иван Шумов]

Никак. Любой набор заголовков можно подделать не заходя даже на сайт) HTTP протокол открытый и управляется двумя пальцами

Comments

[210mev]

А как тогда защищают API?

[Ярослав Иванов]

210mev, Количеством запроса с одного ip. Токены.

[210mev]

Ярослав Иванов, т.е. надо примерно представлять сколько может быть запросов нормальных и вредоносных, и так выбрать кол-во для блокировки что бы опасные запросы заблокировать?

[Ярослав Иванов]

210mev, Верно

[Иван Шумов]

210mev, ключевые слова: авторизация, токены, OpenId Connect, Rate Limit, Throttling

Answer 2

[ky0]

Если предполагается доступ только из определённых мест - любая форма авторизации подойдёт, те же токены. Если набор сайтов невелик и меняется не особенно часто - можно просто прикрыть по IP и периодически их список актуализировать.