CORS (Cross-Origin Resource Sharing) steuert, ob eine Website eine API mit einem anderen Origin aufrufen darf. Dieses Tool simuliert diese Browser-Prüfung und erklärt dir, ohne eine echte Anfrage zu senden, ob dein Server den Aufruf zulassen würde.
Fülle den Origin (die URL der App, die die Anfrage stellt), die HTTP-Methode (GET, POST, PUT…) aus und füge die Antwort-Header deines Servers ein, einen pro Zeile (zum Beispiel Access-Control-Allow-Origin: *).
Hay dos formas de petición cross-origin:
• Petición simple — con GET, POST o HEAD y cabeceras básicas, el navegador la envía directamente y luego comprueba si la respuesta trae Access-Control-Allow-Origin.
• Con preflight — con métodos como PUT, PATCH o DELETE (o cabeceras personalizadas), el navegador manda antes una petición previa de tipo OPTIONS para pedir permiso. La herramienta marca automáticamente cuándo tu método requiere preflight.
Manche Methoden und Header zwingen den Browser, zuerst eine Preflight-Anfrage mit der Methode OPTIONS zu senden. Wenn das Tool das erkennt, muss dein Server auf dieses OPTIONS mit den passenden CORS-Headern antworten.
Es la cabecera imprescindible: indica qué origen puede leer la respuesta.
• * — permite cualquier origen, pero no funciona con credenciales (cookies).
• Un origen concreto, p. ej. https://myapp.com — solo ese origen, y debe coincidir exactamente con tu Origen (protocolo + dominio + puerto).
Si falta esta cabecera, o el valor no coincide con * ni con tu origen, la petición se bloquea.
Lista los métodos HTTP que el servidor acepta desde otro origen, separados por comas (p. ej. GET, POST, PUT, DELETE). Es relevante sobre todo en el preflight. Si indicas esta cabecera pero no incluye tu método, la herramienta lo señala como problema y bloquea la petición. Si no la pones, el método no se comprueba.
Enumera qué cabeceras de petición puede enviar el cliente (p. ej. Content-Type, Authorization). El navegador la exige en el preflight cuando tu petición manda cabeceras no estándar. Si tu app envía Authorization y aquí no aparece, el navegador bloqueará la llamada.
Con valor true permite enviar cookies y credenciales en la petición cross-origin.
• Ojo, gotcha importante: las credenciales son incompatibles con Access-Control-Allow-Origin: *. Si usas credenciales, el origen debe ser específico (p. ej. https://myapp.com), nunca *. Combinar ambos hace que el navegador rechace la respuesta.
Access-Control-Max-Age indica cuántos segundos puede el navegador cachear la respuesta del preflight (p. ej. 86400 = 24 h), para no repetir el OPTIONS en cada llamada. La herramienta la incluye en los headers sugeridos cuando tu método necesita preflight. Recuerda además añadir Vary: Origin en tu servidor cuando devuelvas un origen concreto, para que las cachés no mezclen respuestas de orígenes distintos.
Das Banner zeigt an, ob die Anfrage erlaubt oder blockiert ist und warum. Darunter wird jeder erkannte CORS-Header erklärt, die gefundenen Probleme werden aufgelistet und ein Block vorgeschlagener Header wird bereitgestellt, fertig zum Kopieren auf deinen Server.
Access-Control-Allow-Origin*Permite cualquier origen (no funciona con credenciales)Access-Control-Allow-MethodsGET, POSTMétodos permitidos: GET, POSTAccess-Control-Allow-Origin: https://myapp.com Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS Access-Control-Allow-Headers: Content-Type, Authorization