* **TCP no sabe acerca de "dominios"**. Solo sobre direcciones IP.
    * La información sobre el **dominio específico** solicitado va en los **datos HTTP**.
* Los **certificados HTTPS** "certifican" un **cierto dominio**, pero el protocolo y la encriptación ocurren a nivel de TCP, **antes de saber** con cuál dominio se está tratando.

{* ../../docs_src/advanced_middleware/tutorial002_py39.py hl[2,6:8] *}

Se soportan los siguientes argumentos:

* `allowed_hosts` - Una list de nombres de dominio que deberían ser permitidos como nombres de host. Se soportan dominios comodín como `*.example.com` para hacer coincidir subdominios. Para permitir cualquier nombre de host, usa `allowed_hosts=["*"]` u omite el middleware.

# Seguridad - Primeros pasos { #security-first-steps }

Imaginemos que tienes tu API de **backend** en algún dominio.

Y tienes un **frontend** en otro dominio o en un path diferente del mismo dominio (o en una aplicación móvil).

Y quieres tener una forma para que el frontend se autentique con el backend, usando un **username** y **password**.

Podemos usar **OAuth2** para construir eso con **FastAPI**.

* autocomplete: autocompletar
* autocompletion: preenchimento automático
* bug: bug
* context manager: gerenciador de contexto
* cross domain: cross domain (do not translate to "domínio cruzado")
* cross origin: cross origin (do not translate to "origem cruzada")
* Cross-Origin Resource Sharing: Cross-Origin Resource Sharing (do not translate to "Compartilhamento de Recursos de Origem Cruzada")

* request body: request body (do not translate to "cuerpo de la petición")
* response body: response body (do not translate to "cuerpo de la respuesta")
* cross domain: cross domain (do not translate to "dominio cruzado")
* cross origin: cross origin (do not translate to "origen cruzado")
* plugin: plugin (do not translate to "complemento" or "extensión")
* plug-in: plug-in (do not translate to "complemento" or "extensión")

{* ../../docs_src/advanced_middleware/tutorial002_py39.py hl[2,6:8] *}

Os seguintes argumentos são suportados:

* `allowed_hosts` - Uma lista de nomes de domínio que são permitidos como nomes de host. Domínios com coringa, como `*.example.com`, são suportados para corresponder a subdomínios. Para permitir qualquer nome de host, use `allowed_hosts=["*"]` ou omita o middleware.

## Origem { #origin }

Uma origem é a combinação de protocolo (`http`, `https`), domínio (`myapp.com`, `localhost`, `localhost.tiangolo.com`), e porta (`80`, `443`, `8080`).

Então, todos estes são origens diferentes:

* `http://localhost`
* `https://localhost`
* `http://localhost:8080`

labels.authRealm=Dominio de autenticación
labels.available=Estado
labels.createdBy=Creado por
labels.createdTime=Fecha de creación
labels.depth=Profundidad
labels.excludedPaths=Rutas a excluir del rastreo
labels.excludedUrls=URLs a excluir del rastreo
labels.excludedDocPaths=Rutas a excluir de la búsqueda
labels.excludedDocUrls=URLs a excluir de la búsqueda
labels.hostname=Nombre de host
labels.id=ID
labels.includedPaths=Rutas a incluir en el rastreo

## Origen { #origin }

Un origen es la combinación de protocolo (`http`, `https`), dominio (`myapp.com`, `localhost`, `localhost.tiangolo.com`) y puerto (`80`, `443`, `8080`).

Así que, todos estos son orígenes diferentes:

* `http://localhost`
* `https://localhost`
* `http://localhost:8080`

O programa do **servidor** (por exemplo, **Uvicorn** via **CLI do FastAPI**) é capaz de interpretar esses headers e então repassar essas informações para a sua aplicação.