WebFont を使った時には、サーバからフォントが送られてきます。通常は自分のサーバにあるフォントを使うはずですが、例えば容量の問題から、あるいはフォントをまとめて提供するフォントサーバのような、異なったサーバにあるフォントを指定したい時があります。

普通なら異なったサーバを指定しても普通に読めるはずですが、ブラウザによってはこれが制限されていることがあります。これらは、クロスサイト(Cross-site)制限、またはクロスドメイン(Cross-domain)制限と呼ばれることもあります。この制限は、XMLHttpRequest(通称 ajax) を使った読み込みや、WebFont、WebGL のテクスチャの読み込みなどに適用されます。

この制限を回避するには、サーバ側で、制限回避したいファイルの送信時に、ヘッダに「Access-Control-Allow-Origin: 許可するホスト名」を追加します。ブラウザ側から「Origin: 許可伺いホスト名」が指定されてくるはずなので、それに応じた値を返します。指定する値は、「*」か「null」、あるいは「http://example.com:80」のようなホスト名になります。ホスト名にはパスを含めてはいけません。「*」を指定すると、どこからでもそのファイルが利用可能になります。「null」は、恐らく他のサイトからの利用禁止を意味します。ホスト指定は、そのホストからの利用を許可するという意味になります。ホストは、本来空白区切りで複数並べられるはずですが、Cross-Origin Resource Sharingでは、単一ホストだけに制限されているとあります。