devpack
EnglishEspañolPortuguêsBahasa IndonesiaFrançaisРусскийDeutschTiếng Việt
Аудит сайта

CORS Tester — поиск ошибок CORS

Заблокировала ошибка CORS? Укажите адрес API и origin вашего сайта. Мы отправим те же запросы, что и браузер, покажем что именно не работает и дадим исправление для сервера.

Обновлено

Этот инструмент загружает публичный URL, который вы вводите, с нашего сервера. Результаты хранятся во временной памяти несколько минут и никогда не сохраняются в базе данных.

Был ли этот инструмент полезен?0.0 Оценок: 0
CORS-заголовки для ExpressNginx, Apache, Netlify, Vercel, Next.js и Workers.Генератор CORS-заголовков →

Как пользоваться: CORS Tester

  1. Введите адрес API, который не работает, а в качестве origin укажите адрес вашего сайта.
  2. Выберите метод и добавьте нужные заголовки, например Authorization.
  3. Отметьте Send cookies, если запрос использует credentials, и нажмите Test CORS.
  4. Изучите, что именно не прошло, и скопируйте исправление для вашего сервера.

Что такое CORS?

Браузеры не дают странице одного сайта читать ответы другого, если тот сервер не разрешил это. Cross-Origin Resource Sharing — это механизм разрешения, который работает через заголовки ответа Access-Control-Allow-*. Исправлять его нужно на сервере, а не в клиентском коде.

Что такое preflight?

Для некоторых запросов, например PUT, DELETE или запросов с заголовком Authorization, браузер сначала отправляет запрос OPTIONS, чтобы спросить разрешение. Если он не проходит, основной запрос не выполняется.

Частые ошибки CORS

  • Нет заголовка Access-Control-Allow-Origin: сервер не добавил CORS-заголовки. Страницы с ошибками часто тоже их не содержат, поэтому проверьте, не падает ли запрос по другой причине.
  • Звездочка с credentials: * нельзя использовать с cookies. Передавайте точный origin.
  • Preflight не проходит: сервер должен отвечать на OPTIONS статусом 2xx, до любой проверки авторизации.
  • Несколько значений: два уровня, например прокси и приложение, могут добавлять заголовок одновременно.

Как сделать безопасно

Разрешайте только доверенные origin. Не копируйте входящий заголовок Origin в ответ без проверки по списку, особенно с credentials, иначе любой сайт сможет читать данные ваших пользователей.

Хотите собрать заголовки с нуля? Используйте CORS Header Generator. Чтобы проверить полный ответ, попробуйте HTTP Header Checker.

Также ищут как: cors checker, проверка cors, тест cors, ошибка cors, blocked by cors policy, access-control-allow-origin checker, cors preflight test.

Инструменты, которые хорошо сочетаются с CORS Tester

  • API-тестер — Лёгкая альтернатива Postman прямо в браузере: составьте HTTP-запрос, отправьте его и изучите статус, время, заголовки и JSON с форматированием.
  • Проверка заголовков безопасности — Оцените HTTP-заголовки безопасности сайта от A+ до F, узнайте, каких не хватает и почему они важны, и скопируйте готовые фрагменты конфигурации для Nginx, Apache, Netlify, Vercel или Cloudflare.
  • Коды состояния HTTP — Все стандартные коды ответа HTTP простым языком: когда их использовать и как они влияют на SEO.
  • Анализатор заголовков письма — Вставьте исходные заголовки письма, чтобы увидеть весь его путь: каждый почтовый сервер и время, которое он потратил, результаты SPF, DKIM и DMARC, IP-адрес отправителя и тревожные признаки, например несовпадающие Reply-To или Return-Path.

Часто задаваемые вопросы

Почему мой API работает в Postman, но не в браузере?
CORS применяется браузерами. Postman его не проверяет, поэтому тот же запрос может работать там и не работать на вашем сайте.
Можно ли исправить CORS на фронтенде?
Нет. Заголовки должен отправлять сервер. Если у вас нет к нему доступа, обращайтесь к API через свой бэкенд.
Безопасно ли использовать Access-Control-Allow-Origin: *?
Это нормально для открытых данных, которые не требуют входа. Не используйте его для приватных данных.
Этот тест совпадает с работой настоящего браузера?
Он отправляет запросы того же типа с нашего сервера и применяет правила браузера. Результаты могут отличаться, если ваш сервер по-разному обрабатывает посетителей или их местоположение.

Похожие инструменты

apiГенератор CORS-заголовковВидите «has been blocked by CORS policy»? Опишите, кто может обращаться к вашему API: источники, методы,…apiПроверка HTTP-заголовковВведите любой URL и увидите, что именно отправляет сервер: код статуса, цепочку редиректов и все заголовки…apiAPI-тестерЛёгкая альтернатива Postman прямо в браузере: составьте HTTP-запрос, отправьте его и изучите статус,…apiПроверка заголовков безопасностиОцените HTTP-заголовки безопасности сайта от A+ до F, узнайте, каких не хватает и почему они важны, и…localКоды состояния HTTPВсе стандартные коды ответа HTTP простым языком: когда их использовать и как они влияют на SEO. Ищите,…localАнализатор заголовков письмаВставьте исходные заголовки письма, чтобы увидеть весь его путь: каждый почтовый сервер и время, которое…