CORS é o mecanismo do browser que controla se uma origem (scheme+host+port) pode ler respostas de outra origem. APIs públicas e SPAs em domínios diferentes precisam de headers CORS corretos no servidor.
Erros clássicos: Access-Control-Allow-Origin com wildcard + credentials, esquecer preflight (OPTIONS), e achar que CORS protege o servidor — ele protege o usuário no browser. APIs server-to-server não sofrem CORS.
Em ambientes reais, CORS aparece junto de decisões de arquitetura, custo e operação. Vale documentar no runbook do time: quando usar, quando evitar, métricas de saúde e o que fazer quando falha. Links internos do hub (comandos, erros, comparativos) ajudam a fechar o ciclo entre teoria e prática.
Antes de adotar em produção, monte um teste com dados reais do seu contexto — benchmarks genéricos raramente capturam latência, volume e casos de borda do seu sistema. Prefira evoluir em fatias pequenas, com observabilidade e critério de rollback claros.
Se você está desenhando a solução pela primeira vez, comece pelo caminho mais simples que atende o requisito e só adicione complexidade (mais serviços, mais abstrações) quando a dor for medida, não imaginada.
Casos de borda de CORS costumam aparecer sob carga ou com dados sujos. Inclua testes com volume realista e com entradas malformadas. Em sistemas distribuídos, timeouts e retries mal configurados mascaram o problema até virar incidente.
Reserve tempo para chaos testing leve: derrubar uma dependência e ver se o comportamento é o esperado.
Para ir além: explore no hub os comparativos, comandos e erros relacionados a CORS. A combinação de glossário + guias práticos é o que transforma consulta rápida em capacidade operacional de verdade.