Un'origine canonica è l'unico URL base definito dal server che un'applicazione dovrebbe considerare attendibile per link, reindirizzamenti e URL di callback sensibili alla sicurezza. È l'origine "ufficiale" del sito, in genere impostata nella configurazione anziché ricavata dai dati della richiesta, come l'intestazione Host, :authority o l'input dell'utente.
Questo è importante perché molti attacchi iniziano quando un'app costruisce URL assoluti da valori che il client può modificare. Se un attaccante riesce a influenzare l'origine, può avvelenare link di reimpostazione della password, callback OAuth, link di notifica o altri riferimenti in uscita. I difensori usano un'origine canonica per mantenere stabili questi flussi: l'applicazione dovrebbe generare gli URL a partire da una base fissa presente nella allowlist, non da qualunque host dichiari la richiesta. In pratica, questo riduce l'impatto dell'iniezione dell'intestazione Host e aiuta a impedire che la manipolazione di reindirizzamenti o link diventi un percorso di phishing o di compromissione dell'account.