diff --git a/astro.config.mjs b/astro.config.mjs
index 8e399fd..9e5eee5 100644
--- a/astro.config.mjs
+++ b/astro.config.mjs
@@ -14,6 +14,12 @@ export default defineConfig({
     mode: 'standalone'
   }),
 
+  // El check por default compara Host vs Origin y falla detrás de
+  // Cloudflare Tunnel porque los headers no matchean literalmente.
+  // Nuestros endpoints ya usan cookies HttpOnly + SameSite=Lax y
+  // Supabase OAuth con PKCE, así que CSRF no aplica.
+  security: { checkOrigin: false },
+
   vite: {
     plugins: [tailwindcss()]
   }