CORS (Cross-Origin Resource Sharing) contrôle si un site web peut appeler une API d'une autre origine. Cet outil simule cette vérification du navigateur et t'explique, sans faire aucune requête réelle, si ton serveur autoriserait l'appel.
Renseigne l'Origine (l'URL de l'app qui fait la requête), la Méthode HTTP (GET, POST, PUT…) et colle les headers de réponse de ton serveur, un par ligne (par exemple Access-Control-Allow-Origin: *).
Hay dos formas de petición cross-origin:
• Petición simple — con GET, POST o HEAD y cabeceras básicas, el navegador la envía directamente y luego comprueba si la respuesta trae Access-Control-Allow-Origin.
• Con preflight — con métodos como PUT, PATCH o DELETE (o cabeceras personalizadas), el navegador manda antes una petición previa de tipo OPTIONS para pedir permiso. La herramienta marca automáticamente cuándo tu método requiere preflight.
Certaines méthodes et certains headers obligent le navigateur à envoyer d'abord une requête preflight avec la méthode OPTIONS. Si l'outil le détecte, ton serveur doit répondre à ce OPTIONS avec les headers CORS adéquats.
Es la cabecera imprescindible: indica qué origen puede leer la respuesta.
• * — permite cualquier origen, pero no funciona con credenciales (cookies).
• Un origen concreto, p. ej. https://myapp.com — solo ese origen, y debe coincidir exactamente con tu Origen (protocolo + dominio + puerto).
Si falta esta cabecera, o el valor no coincide con * ni con tu origen, la petición se bloquea.
Lista los métodos HTTP que el servidor acepta desde otro origen, separados por comas (p. ej. GET, POST, PUT, DELETE). Es relevante sobre todo en el preflight. Si indicas esta cabecera pero no incluye tu método, la herramienta lo señala como problema y bloquea la petición. Si no la pones, el método no se comprueba.
Enumera qué cabeceras de petición puede enviar el cliente (p. ej. Content-Type, Authorization). El navegador la exige en el preflight cuando tu petición manda cabeceras no estándar. Si tu app envía Authorization y aquí no aparece, el navegador bloqueará la llamada.
Con valor true permite enviar cookies y credenciales en la petición cross-origin.
• Ojo, gotcha importante: las credenciales son incompatibles con Access-Control-Allow-Origin: *. Si usas credenciales, el origen debe ser específico (p. ej. https://myapp.com), nunca *. Combinar ambos hace que el navegador rechace la respuesta.
Access-Control-Max-Age indica cuántos segundos puede el navegador cachear la respuesta del preflight (p. ej. 86400 = 24 h), para no repetir el OPTIONS en cada llamada. La herramienta la incluye en los headers sugeridos cuando tu método necesita preflight. Recuerda además añadir Vary: Origin en tu servidor cuando devuelvas un origen concreto, para que las cachés no mezclen respuestas de orígenes distintos.
La bannière indique si la requête est autorisée ou bloquée et pourquoi. En dessous, chaque header CORS détecté est expliqué, les problèmes trouvés sont listés et un bloc de headers suggérés est proposé, prêt à copier sur ton serveur.
Access-Control-Allow-Origin*Permite cualquier origen (no funciona con credenciales)Access-Control-Allow-MethodsGET, POSTMétodos permitidos: GET, POSTAccess-Control-Allow-Origin: https://myapp.com Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS Access-Control-Allow-Headers: Content-Type, Authorization