При доступі до API з використанням крос-доменного AJAX-запиту (CORS), задайте параметру значення вихідного домена. Він має бути включений у будь-який попередній запит і таким чином мусить бути частиною запиту URI (не тіла POST).
Для автентифікованих запитів він повинен точно збігатися з одним із виходів у заголовку Origin, тобто бути заданим чимось на зразок https://uk.wikipedia.org або https://meta.wikimedia.org. Якщо цей параметр не збігається із заголовком Origin, повернеться помилка 403. Якщо цей параметр збігається із заголовком Origin і вихід знаходиться у дозволеному списку, буде встановлено заголовки Access-Control-Allow-Origin і Access-Control-Allow-Credentials.
Для неавтентифікованих запитів укажіть значення *. Це дасть встановлення заголовка Access-Control-Allow-Origin, але Access-Control-Allow-Credentials буде false і всі дані про користувача будуть заборонені.