Eclair 0.14.4 responde con 403 a cualquier llamada API que llegue con un encabezado Origin. No verifica cuál es el origen, solo si existe alguno. La API de Eclair utiliza autenticación básica y acepta parámetros codificados en formato form, por lo que, una vez que un navegador ha almacenado en caché la contraseña, cualquier formulario HTML simple en una página que abra el operador puede realizar un POST hacia ella. Esto no requiere aprobación CORS. La página no puede leer la respuesta, pero el envío en cadena o el cierre del canal ya se ha realizado. Los navegadores establecen el encabezado Origin en estas solicitudes, mientras que curl no lo hace, y verificar su presencia también captura el Origin: null que envía un iframe aislado. La corrección fue fusionada el 15 de septiembre, un día después de que se etiquetara la versión 0.14.3, y se incluyó en la versión lanzada el 15 de octubre. phoenixd, de el mismo equipo, también acepta parámetros codificados en formato form detrás de autenticación básica, y no he encontrado ninguna verificación de Origin en la versión 0.9.3. ¿Existe alguna razón por la que phoenixd no necesite una, o simplemente aún no se ha planteado?