---
title: "Django-CORS: Sicherheit & Best Practices"
description: "Entdecke, wie du Django-CORS richtig konfigurierst. Mach deine Anwendung sicher, flexibel und bereit für die Produktion – der perfekte Einstieg!"
canonical_url: "https://www.blueshoe.de/blog/django-cors-in-produktion/"
---
CORS (Cross-Origin Resource Sharing) richtig zu konfigurieren, ist entscheidend für die Sicherheit und Funktionalität deiner Django-Anwendung. Erfahre, wie du Django-CORS effektiv einsetzt, um externe Anfragen sicher und zuverlässig zu handhaben.
Optimierte CORS-Konfiguration für moderne Webanwendungen
Django-CORS ist ein unverzichtbares Werkzeug für die sichere Kommunikation zwischen Diensten in einer Cross-Origin-Umgebung. Besonders in verteilten Architekturen und Container-Umgebungen spielt eine flexible und gut konfigurierte CORS-Strategie eine Schlüsselrolle. Erfahre, welche Pakete du benötigst, wie du sie installierst und konfigurierst und welche Best Practices es gibt.
Einführung in Django-CORS
CORS (Cross-Origin Resource Sharing) definiert, welche Domains Zugriff auf Ressourcen deiner Anwendung haben. Browser blockieren standardmäßig solche Anfragen, wenn sie von einer anderen Domain stammen. Mit [django-cors-headers](https://github.com/adamchainz/django-cors-headers) kannst du diese Beschränkung gezielt aufzuheben und [API](/loesungen/api-entwicklung)-Zugriffe sicher und kontrolliert gestalten.
Pakete und Installation
Für die CORS-Konfiguration in Django wird das Paket [django-cors-headers](https://github.com/adamchainz/django-cors-headers) verwendet. Dieses Paket ist speziell für Django entwickelt und integriert sich nahtlos in die bestehende Middleware.
1. Installiere das Paket mit pip
```bash
pip install django-cors-headers
```
2. Füge das Paket in deinen Django-Einstellungen hinzu
```python
INSTALLED_APPS += [
'corsheaders',
]
```
3. Registriere die Middleware – sie muss ganz oben in der Liste stehen
```python
MIDDLEWARE = [
'corsheaders.middleware.CorsMiddleware',
*MIDDLEWARE,
]
```
Beispiel: Webanwendung mit CORS
Für eine typische Webanwendung, bei der Frontend und Backend auf unterschiedlichen Domains laufen, kannst du `CORS_ALLOWED_ORIGINS` so konfigurieren:
```python
CORS_ALLOWED_ORIGINS = [
"https://frontend.example.com",
"https://partner.example.com",
]
```
Möchtest du zusätzliche Header erlauben, z. B. für Authentifizierung, kannst du dies erweitern:
```python
from corsheaders.defaults import default_headers
CORS_ALLOW_HEADERS = list(default_headers) + [
"Authorization",
"X-Custom-Header",
]
```
Wir können CORS auch für deine Django Apps einrichten.
CORS in Container-Umgebungen
In Container- und verteilten Systemen wird Django häufig als Backend verwendet, das von verschiedenen Diensten (Frontend, API-Gateways, Authentifizierungsserver) angesprochen wird. Hier ist es entscheidend, die CORS-Regeln auch für interne Container-Kommunikation korrekt zu setzen.
Herausforderungen:
1. **Dynamische Ursprünge:** Dienste können in Containern unterschiedliche IP-Adressen oder dynamische Subdomains verwenden.
2. **Preflight-Anfragen:** Optionen-Anfragen (OPTIONS) können von Proxies oder Load-Balancern blockiert werden, was zu Problemen führt.
Lösung:
Mit regex-basierten Whitelists und flexiblen Methoden:
:
```python
CORS_ORIGIN_REGEX_WHITELIST = [
r"^https://.*\.example\.com$",
]
CORS_ALLOW_METHODS = [
"GET",
"POST",
"PUT",
"DELETE",
"OPTIONS",
]
```
Häufige Stolpersteine
1. **Wildcard-Konfiguration**: Vermeide `CORS_ALLOW_ALL_ORIGINS=True` in der Produktion - das ist ein Sicherheitsrisiko.
2. **Preflight-Anfragen in Containern**: Stelle sicher, dass API-Gateways oder Proxies die `OPTIONS`-Anfragen korrekt durchleiten.
3. **Logs und Debugging**: Überwache fehlerhafte CORS-Anfragen mithilfe von Django-Logs, um Fehlkonfigurationen schnell zu erkennen.
Best Practices für Django-CORS
1. Nutze Umgebungsvariablen, um Konfigurationen zwischen Entwicklungs- und Produktionsumgebung zu trennen.
2. Teste regelmäßig deine CORS-Konfiguration, z. B. mit Tools wie [Postman](https://www.postman.com/) oder Browser-Developer-Tools.
3. Reduziere die Anzahl erlaubter Ursprünge und Header auf das absolut Notwendige.
Fazit
Mit django-cors-headers kannst du sicherstellen, dass Cross-Origin-Anfragen kontrolliert und sicher abgewickelt werden – unabhängig davon, ob du lokal entwickelst oder in einer skalierbaren Container-Umgebung arbeitest. Besonders in verteilten Systemen ist die richtige CORS-Konfiguration entscheidend, um eine reibungslose Kommunikation zwischen Diensten zu gewährleisten.
Hast du Fragen oder möchtest du Unterstützung bei der Umsetzung? [Kontaktiere uns](https://blueshoe.io/michael/) – wir helfen dir, deine Djangp Apps erfolgreich umzusetzen!
Häufige Fragen
1. Was ist Django-CORS und warum ist es wichtig?
Django-CORS (Cross-Origin Resource Sharing) ermöglicht es, gezielt zu definieren, welche Domains auf Ressourcen einer Django-Anwendung zugreifen dürfen. Das ist besonders in modernen, verteilten Systemen relevant, um APIs sicher und flexibel zu gestalten.
2. Wie konfiguriere ich CORS in Django?
Die Konfiguration erfolgt mit dem Paket django-cors-headers. Dieses wird per pip installiert und in den `INSTALLED_APPS` sowie der `MIDDLEWARE` eingetragen. Domains, die zugreifen dürfen, werden in den Einstellungen wie `CORS_ALLOWED_ORIGINS` definiert.
3. Welche Herausforderungen gibt es bei CORS in Container-Umgebungen?
In Container-Architekturen treten oft dynamische Ursprünge und blockierte Preflight-Anfragen auf. Diese können durch regex-basierte Whitelists (`CORS_ORIGIN_REGEX_WHITELIST`) und die richtige Proxy-Konfiguration gelöst werden.
4. Was sind Best Practices für eine sichere Django-CORS-Konfiguration?
- Vermeide die Verwendung von `CORS_ALLOW_ALL_ORIGINS=True` in der Produktion.
- Reduziere erlaubte Ursprünge und Header auf das Nötigste.
- Nutze Umgebungsvariablen, um Konfigurationen zwischen Entwicklungs- und Produktionsumgebungen zu trennen.
5. Wie teste ich meine Django-CORS-Konfiguration?
Die CORS-Einstellungen können mit Tools wie Postman oder den Developer-Tools des Browsers überprüft werden. Preflight-Anfragen sollten korrekt durchgeleitet und Logs auf Fehler analysiert werden.
## Sitemap
See the full [sitemap](/sitemap.md) for all pages.