Testador de CORS — Depure Erros de CORS

O que é CORS?

Os navegadores impedem que uma página de um site leia respostas de outro, a menos que o outro servidor permita. O Cross-Origin Resource Sharing é o mecanismo que faz essa permissão, usando headers de resposta Access-Control-Allow-*. A correção precisa ser feita no servidor, não no seu código front-end.

O que é um preflight?

Em algumas requisições, como PUT, DELETE ou aquelas com header Authorization, o navegador envia primeiro uma requisição OPTIONS para pedir permissão. Se ela falhar, a requisição real nem chega a acontecer.

Erros comuns de CORS

• Sem header Access-Control-Allow-Origin: o servidor não adicionou os headers de CORS. Páginas de erro muitas vezes também não os incluem, então verifique se a requisição não está falhando por outro motivo.
• Curinga com credenciais: * não pode ser usado com cookies. Envie a origem exata.
• Preflight falha: seu servidor precisa responder OPTIONS com status 2xx, antes de qualquer verificação de login.
• Valores duplicados: duas camadas, como um proxy e a aplicação, podem estar adicionando o header ao mesmo tempo.

Mantenha a segurança

Permita apenas origens em que você confia. Não copie de volta o header Origin recebido sem validá-lo contra uma lista, especialmente com credenciais, pois qualquer site poderia então ler os dados dos seus usuários.

Quer montar os headers do zero? Use o Gerador de Headers CORS. Para inspecionar uma resposta completa, experimente o Verificador de Headers HTTP.

Também pesquisado como: verificador de cors, testar cors, erro de cors, blocked by cors policy, access-control-allow-origin checker, teste de preflight cors, no access-control-allow-origin header.

Ferramentas que combinam com: Testador de CORS

• Testador de API — Uma alternativa leve ao Postman no seu navegador: monte uma requisição HTTP, envie e veja status, tempo, headers e o JSON formatado.
• Verificador de Headers de Segurança — Dê uma nota de A+ a F aos headers de segurança HTTP de um site, veja quais estão faltando e por que eles importam, e copie trechos de configuração prontos para Nginx, Apache, Netlify, Vercel ou Cloudflare.
• Códigos de Status HTTP — Todo código de resposta HTTP padrão explicado em linguagem simples, com quando usar e como afeta o SEO.
• Analisador de Cabeçalho de E-mail — Cole os cabeçalhos brutos de um e-mail para ver todo o seu percurso: cada salto entre servidores com o tempo que levou, os resultados de SPF, DKIM e DMARC, o IP de origem e sinais de alerta, como um Reply-To ou Return-Path divergente.