cors_policy

La política CORS define qué dominios frontend pueden realizar peticiones al API KYC. Una configuración incorrecta (wildcard *) permite a cualquier web maliciosa hacer peticiones en nombre del usuario autenticado.

When to use

Configurar antes de exponer cualquier endpoint. Aplicar tanto en FastAPI (para dev) como en Nginx (producción) — Nginx es el punto de entrada real y es quien envía los headers CORS al browser.

Instructions

1. En FastAPI para desarrollo (backend/main.py):

   from fastapi.middleware.cors import CORSMiddleware
   ALLOWED_ORIGINS = os.environ["ALLOWED_ORIGINS"].split(",")
   app.add_middleware(CORSMiddleware,
       allow_origins=ALLOWED_ORIGINS,
       allow_methods=["POST", "GET"],
       allow_headers=["Authorization", "Content-Type", "X-Request-ID"],
       allow_credentials=True,