Внешние API на Squarespace: почему fetch падает и как это чинится прокси

Стена 1: CORS

• Браузер блокирует fetch к API, которое не отдаёт заголовок Access-Control-Allow-Origin.
• Классический симптом: в консоли «blocked by CORS policy», а из curl тот же адрес работает.
• Со стороны Squarespace это не чинится вообще: серверной части, куда можно перенести запрос, у платформы нет.

Стена 2: API-ключи

• Ключ, вставленный в Code Injection, виден каждому посетителю через view-source.
• Для платных API это прямой путь к чужим счетам за ваш ключ.
• Вывод тот же: секреты должны жить на стороне, которой у Squarespace нет.

Что делает прокси

• Принимает запрос с сайта, сам ходит во внешний API с сервера и возвращает ответ с правильным CORS-заголовком.
• API-ключ хранится в конфигурации прокси и в браузер не попадает никогда.
• На стенде прокси поднят на nginx. Клиенту без своего сервера то же самое делается бесплатным Cloudflare Worker.

Вариант для клиента: Cloudflare Worker

export default {
  async fetch(request, env) {
    const upstream = await fetch(
      "https://api.example.com/data",
      { headers: { "X-Api-Key": env.SECRET_KEY } }
    );
    const body = await upstream.text();
    return new Response(body, {
      headers: {
        "Content-Type": "application/json",
        "Access-Control-Allow-Origin": "https://вашсайт.com",
      },
    });
  },
};