Probador de CORS: depura errores de CORS

¿Qué es CORS?

Los navegadores impiden que una página de un sitio lea respuestas de otro, a menos que el servidor de destino lo permita. Cross-Origin Resource Sharing es el mecanismo que lo permite, mediante cabeceras de respuesta Access-Control-Allow-*. Debe configurarse en el servidor, no en tu código de front-end.

¿Qué es un preflight?

En algunas peticiones, como PUT, DELETE o las que llevan una cabecera Authorization, el navegador primero envía una petición OPTIONS para pedir permiso. Si eso falla, la petición real nunca se envía.

Errores de CORS habituales

• Falta la cabecera Access-Control-Allow-Origin: el servidor no añadió las cabeceras CORS. Las páginas de error también suelen omitirlas, así que comprueba que tu petición no falle por otro motivo.
• Comodín con credenciales: * no puede usarse con cookies. Envía el origen exacto.
• Falla el preflight: tu servidor debe responder a OPTIONS con un estado 2xx, antes de cualquier comprobación de inicio de sesión.
• Valores duplicados: dos capas, como un proxy y una aplicación, pueden estar añadiendo la cabecera cada una por su lado.

Mantenlo seguro

Permite solo los orígenes en los que confíes. No copies de vuelta la cabecera Origin recibida sin validarla contra una lista, sobre todo con credenciales, porque cualquier sitio podría entonces leer los datos de tus usuarios.

¿Quieres construir las cabeceras desde cero? Usa el Generador de cabeceras CORS. Para inspeccionar una respuesta completa, prueba el Comprobador de cabeceras HTTP.

También se busca como: probador cors, comprobador cors, probar cors, error cors, bloqueado por política cors, comprobar access-control-allow-origin, prueba preflight cors, no access-control-allow-origin header.

Herramientas que combinan con: Probador de CORS

• Probador de API — Una alternativa ligera a Postman en tu navegador: crea una petición HTTP, envíala y revisa el estado, los tiempos, las cabeceras y el JSON formateado.
• Comprobador de cabeceras de seguridad — Califica las cabeceras de seguridad HTTP de una web de A+ a F, mira cuáles faltan y por qué importan, y copia fragmentos de configuración listos para Nginx, Apache, Netlify, Vercel o Cloudflare.
• Códigos de estado HTTP — Cada código de respuesta HTTP explicado en lenguaje sencillo, con cuándo usarlo y cómo afecta al SEO.
• Analizador de cabeceras de email — Pega las cabeceras sin procesar de un email para ver todo su recorrido: cada salto entre servidores con el tiempo que tardó, los resultados de SPF, DKIM y DMARC, la IP de origen y señales de alerta como un Reply-To o un Return-Path que no coinciden.