Ogni chiave ha un elenco facoltativo di **origini consentite**: i domini (hostname) da cui è accettato usarla quando la richiesta arriva con l'intestazione `Origin` (cioè, da un browser). Il formato è l'**hostname nudo**, senza `https://` né percorso — per esempio `miaapp.miodominio.it`, mai `https://miaapp.miodominio.it/`. **Vuoto = nessuna restrizione di origine** (il valore predefinito, e quello che la colonna «Origini consentite» mostra come **«Senza restrizioni»**): la chiave funziona da qualsiasi posto. Limitare l'origine ha senso quando la chiave verrà usata **da un frontend nel browser** (per esempio, un widget proprio che chiama l'API con questa chiave incorporata) e vuoi ridurre il danno se quella chiave venisse trapelata — limita da quali domini web può essere usata. > **Nota — Non è una difesa contro tutto** > > Il controllo dell'origine si applica solo quando la richiesta **porta** l'intestazione `Origin` (tipico > di un browser). Una chiamata server-server — l'uso principale di una chiave API — di solito non invia > quell'intestazione, quindi passa comunque anche se l'elenco di origini è limitato. È uno strato contro > l'abuso da browser, non il segreto principale che protegge la chiave: quello resta la chiave stessa. Il modulo «Nuova chiave» (paragrafo 4) porta il campo **«Origini consentite»** già compilato con `*` — non serve toccarlo se ti va bene «senza restrizioni». Per limitarlo, sostituiscilo con un elenco di hostname separati da virgole (per esempio `miosito.it, app.miosito.it` — ognuno copre anche i suoi sottodomini), senza `https://` né barre; il limite è di **50 origini** per chiave. Un valore che non è un hostname valido (con `https://`, con percorso, con spazi…) dà un errore immediato nel modulo stesso, prima di inviare il codice.