HTTP Timing-Allow-Origin Header

Der HTTP-Header Timing-Allow-Origin ist ein Response-Header, der steuert, welche Origins auf detaillierte Performance-Metriken der Resource Timing API zugreifen dürfen. Ohne diesen Header erhalten Cross-Origin-Requests nur eingeschränkte Timing-Informationen.

Typ

Response-Header

Syntax

Der Header listet erlaubte Origins oder verwendet ein Wildcard für alle Origins auf.

http 
Timing-Allow-Origin: https://api.example.com
Timing-Allow-Origin: *

Direktiven

Die Direktiven definieren, welche Origins Zugriff auf detaillierte Timing-Daten erhalten.

<origin>
Eine vollständige Origin-URL (Schema, Host, Port). Mehrere Origins werden durch Kommata getrennt.
*
Wildcard erlaubt allen Origins den Zugriff auf detaillierte Performance-Metriken.

Beispiele

Nachfolgend finden Sie praktische Anwendungsbeispiele für den Timing-Allow-Origin-Header.

Beispiel 1 Zugriff für eine spezifische Origin

http 
Timing-Allow-Origin: https://analytics.example.com

CDN-Server erlaubt der Origin analytics.example.com Zugriff auf detaillierte Ladezeiten von JavaScript-Dateien für Performance-Monitoring.

Beispiel 2 Mehrere Origins mit CORS

http 
Timing-Allow-Origin: https://app.example.com, https://monitor.example.com

API-Server gewährt zwei verschiedenen Monitoring-Systemen Zugriff auf vollständige Timing-Metriken für Cross-Origin-Ressourcen.

Beispiel 3 Wildcard fuer oeffentliche Ressourcen

http 
Timing-Allow-Origin: *
Access-Control-Allow-Origin: *

Öffentliche CDN-Ressource erlaubt allen Origins Zugriff auf Performance-Daten, kombiniert mit CORS für vollständige Transparenz.

Resource Timing API Flow

Resource Timing API mit Timing-Allow-Origin

Vorteile für die Systemarchitektur

  • Performance-Monitoring: Cross-Origin Ressourcen können vollständig analysiert werden für End-to-End-Messungen
  • CDN-Transparenz: Ermöglicht detaillierte Metriken von CDN-Ressourcen für Optimierungszwecke
  • Security durch Kontrolle: Nur autorisierte Origins erhalten Zugriff auf sensible Timing-Informationen

Spezifikation

W3C Resource Timing Level 2, Section 4.3 https://www.w3.org/TR/resource-timing-2/#timing-allow-origin

Weitere Spezifikationen

Server-Timing Header, Access-Control-Allow-Origin Header