O CORS (Cross-Origin Resource Sharing) controla se um site pode chamar uma API de outra origem. Esta ferramenta simula essa verificação do navegador e explica-te, sem fazer nenhum pedido real, se o teu servidor permitiria a chamada.
Preenche a Origem (o URL da app que faz o pedido), o Método HTTP (GET, POST, PUT…) e cola os headers de resposta do teu servidor, um por linha (por exemplo Access-Control-Allow-Origin: *).
Hay dos formas de petición cross-origin:
• Petición simple — con GET, POST o HEAD y cabeceras básicas, el navegador la envía directamente y luego comprueba si la respuesta trae Access-Control-Allow-Origin.
• Con preflight — con métodos como PUT, PATCH o DELETE (o cabeceras personalizadas), el navegador manda antes una petición previa de tipo OPTIONS para pedir permiso. La herramienta marca automáticamente cuándo tu método requiere preflight.
Alguns métodos e headers obrigam o navegador a enviar antes um pedido preflight com o método OPTIONS. Se a ferramenta o detetar, o teu servidor deve responder a esse OPTIONS com os headers CORS adequados.
Es la cabecera imprescindible: indica qué origen puede leer la respuesta.
• * — permite cualquier origen, pero no funciona con credenciales (cookies).
• Un origen concreto, p. ej. https://myapp.com — solo ese origen, y debe coincidir exactamente con tu Origen (protocolo + dominio + puerto).
Si falta esta cabecera, o el valor no coincide con * ni con tu origen, la petición se bloquea.
Lista los métodos HTTP que el servidor acepta desde otro origen, separados por comas (p. ej. GET, POST, PUT, DELETE). Es relevante sobre todo en el preflight. Si indicas esta cabecera pero no incluye tu método, la herramienta lo señala como problema y bloquea la petición. Si no la pones, el método no se comprueba.
Enumera qué cabeceras de petición puede enviar el cliente (p. ej. Content-Type, Authorization). El navegador la exige en el preflight cuando tu petición manda cabeceras no estándar. Si tu app envía Authorization y aquí no aparece, el navegador bloqueará la llamada.
Con valor true permite enviar cookies y credenciales en la petición cross-origin.
• Ojo, gotcha importante: las credenciales son incompatibles con Access-Control-Allow-Origin: *. Si usas credenciales, el origen debe ser específico (p. ej. https://myapp.com), nunca *. Combinar ambos hace que el navegador rechace la respuesta.
Access-Control-Max-Age indica cuántos segundos puede el navegador cachear la respuesta del preflight (p. ej. 86400 = 24 h), para no repetir el OPTIONS en cada llamada. La herramienta la incluye en los headers sugeridos cuando tu método necesita preflight. Recuerda además añadir Vary: Origin en tu servidor cuando devuelvas un origen concreto, para que las cachés no mezclen respuestas de orígenes distintos.
O banner indica se o pedido está permitido ou bloqueado e porquê. Por baixo, explica-se cada header CORS detetado, listam-se os problemas encontrados e propõe-se um bloco de headers sugeridos pronto a copiar para o teu servidor.
Access-Control-Allow-Origin*Permite cualquier origen (no funciona con credenciales)Access-Control-Allow-MethodsGET, POSTMétodos permitidos: GET, POSTAccess-Control-Allow-Origin: https://myapp.com Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS Access-Control-Allow-Headers: Content-Type, Authorization