Un'origine attendibile è il confine web che un'app considera come proprio. Nella sicurezza del browser, un'origine è la combinazione di schema, host e porta; i contenuti di quell'origine possono accedere ai dati same-origin, come archiviazione, cookie e stato della pagina, e possono essere autorizzati a usare funzionalità integrate nell'app.
Questo è importante perché la fiducia nell'origine è una decisione di controllo degli accessi, non solo un'etichetta URL. Nelle app ibride e nelle WebView, se contenuti remoti o controllati da un attaccante vengono caricati per errore come origine attendibile, possono ereditare privilegi che erano previsti solo per le pagine locali dell'app. Gli attaccanti cercano errori di routing dei percorsi, redirect ed endpoint proxy interni che consentano ai contenuti non attendibili di attraversare quel confine. I difensori lo proteggono validando l'intero URL, isolando i contenuti non attendibili, limitando la navigazione e mantenendo le pagine sensibili su origini separate.