Es muy común tener varios dominios en la misma dirección IP y, a menudo, estos dominios son controlados por diferentes partes. Esto es típico tanto para alojamiento barato como para CDN como Cloudflare. Tener la misma política de origen basada solo en la dirección IP haría posible los ataques entre dominios. Esto aún permitiría usar tanto la dirección IP como el nombre de host combinados como restricción.
Además, el mismo dominio podría estar alojado en varias direcciones IP, por ejemplo, con direcciones IP específicas de ubicación geográfica o con equilibrio de carga basado en DNS (es decir, DNS de round-robin). Restringir el SOP a una dirección IP específica para el mismo nombre de host provocaría un comportamiento inesperado, es decir, a veces las solicitudes dentro del mismo nombre de host funcionan y otras veces no. Por lo tanto, restringir el SOP además de la IP causa problemas de confiabilidad.
Esto solo deja el SOP como está actualmente, es decir, restringido al nombre de host pero no a la dirección IP. Desafortunadamente, esto lo deja abierto a los ataques de reencuadernación de DNS. Pero, suponiendo que el pirata informático no controle el DNS para el nombre de host original de un sitio, omitir el SOP con DNS (DNS) solo funciona si el host de destino no verifica correctamente el encabezado Host en la solicitud, es decir, permite que un atacante controle el nombre de host dentro la solicitud. Por lo tanto, este riesgo se puede mitigar comprobando correctamente el encabezado Host en el servidor. También se puede mitigar mediante el uso de HTTPS, ya que el servidor no tiene un certificado que coincida con el nombre de host controlado por el atacante y, por lo tanto, el navegador rechazará la conexión.