מדיה ויקי:Apihelp-main-param-crossorigin

בעת גישה לממשק ה־API באמצעות בקשת AJAX חוצה־תחומים (CORS) ושימוש בספק התחברות (session) מאובטח מפני מתקפות זיוף בקשות חוצות אתרים (CSRF), כגון OAuth, יש להשתמש בזה ולא ב־origin=* כדי לאמת את הבקשה (כלומר, שהיא לא תהיה של משתמש שלא נכנס לחשבון). זה חייב להיכלל בכל בקשה לפני טיסה, ולכן חייב להיות חלק מה־URI של הבקשה (ולא בגוף ה־POST).

נא לשים לב לכך שרוב ספקי ההתחברות, כולל התחברויות תקניות שמבוססות על עוגיות, אינם תומכים ב־CORS מאומת ולא ניתן להשתמש בהם עם הפרמטר הזה.