So nutzt du: CORS-Tester
- Gib die API-Adresse ein, die fehlschlägt, und die Adresse deiner Website als Origin.
- Wähle die Methode und füge eigene Header hinzu, z. B. Authorization.
- Setze das Häkchen bei Cookies senden, wenn deine Anfrage Credentials nutzt, und klicke auf CORS testen.
- Lies, was fehlgeschlagen ist, und kopiere den Fix für deinen Server.
Was ist CORS?
Browser verhindern, dass eine Seite auf einer Website Antworten von einer anderen Website lesen kann, es sei denn, der andere Server stimmt zu. Cross-Origin Resource Sharing regelt diese Zustimmung über Access-Control-Allow-*-Antwortheader. Das Problem wird auf dem Server behoben, nicht in deinem Front-End-Code.
Was ist ein Preflight?
Bei manchen Anfragen, etwa PUT, DELETE oder solchen mit einem Authorization-Header, sendet der Browser zuerst eine OPTIONS-Anfrage, um die Erlaubnis abzufragen. Schlägt sie fehl, wird die eigentliche Anfrage nie ausgeführt.
Häufige CORS-Fehler
- Kein Access-Control-Allow-Origin-Header: Der Server hat keine CORS-Header gesetzt. Auch Fehlerseiten lassen sie oft weg, prüfe also, ob deine Anfrage aus einem anderen Grund fehlschlägt.
- Wildcard mit Credentials:
*lässt sich nicht zusammen mit Cookies verwenden. Sende den genauen Origin. - Preflight schlägt fehl: Dein Server muss
OPTIONSmit einem 2xx-Status beantworten, und zwar bevor eine Login-Prüfung greift. - Mehrere Werte: Zwei Ebenen, etwa ein Proxy und die App, setzen den Header möglicherweise beide.
Sicher bleiben
Erlaube nur Origins, denen du vertraust. Kopiere den eingehenden Origin-Header nicht ungeprüft zurück, vor allem nicht mit Credentials, denn sonst könnte jede Website die Daten deiner Nutzer auslesen.
Willst du die Header von Grund auf neu erstellen? Nutze den CORS Header Generator. Um eine vollständige Antwort zu prüfen, probiere den HTTP Header Checker.
Auch gesucht als: cors checker, cors fehler, cors fehler beheben, cors policy blockiert, access-control-allow-origin prüfen, cors preflight testen, kein access-control-allow-origin header.
Passende Tools zu: CORS-Tester
- API-Tester — Eine schlanke Postman-Alternative im Browser: HTTP-Request zusammenstellen, senden und Status, Dauer, Header sowie formatiertes JSON prüfen.
- Security Headers Prüfer — Bewerte die HTTP-Sicherheitsheader einer Website von A+ bis F, sieh, welche fehlen und warum sie wichtig sind, und kopiere fertige Konfigschnipsel für Nginx, Apache, Netlify, Vercel oder Cloudflare.
- HTTP-Statuscodes — Jeder Standard-HTTP-Antwortcode einfach erklärt, mit Einsatzzweck und Auswirkung auf SEO.
- Email-Header-Analyzer — Füge die rohen Header einer E-Mail ein, um ihren gesamten Weg zu sehen: jeden Server-Hop mit der benötigten Zeit, die SPF-, DKIM- und DMARC-Ergebnisse, die ursprüngliche IP und Warnzeichen wie ein abweichendes Reply-To oder Return-Path.