Probador de CORS y analizador de políticas
Prueba CORS en tu navegador o simula una solicitud previa con cualquier origen
Solicitud
Simulado con una solicitud de servidor; el navegador aplica el resultado real. Los servidores de CodingTool envían una solicitud previa, más GET o HEAD para esos métodos, sin cookies, valores de cabecera ni cuerpo, y devuelven solo las cabeceras de respuesta. No se guarda nada.
Se envía como cabecera Origin. Usa null para probar páginas en sandbox o archivos locales.
Una por línea. Al servidor solo llegan los nombres; los valores se quedan en tu navegador.
Solicitud simple: el navegador la envía sin solicitud previa.
Comprueba las reglas para solicitudes con cookies o autenticación HTTP. No se envía ninguna.
Envía una solicitud previa adicional con el origen ajeno https://cors-probe.example.
Resultados
Cabeceras de respuesta
Las cabeceras de respuesta aparecen aquí después de una prueba.
Herramientas relacionadas
¿Qué comprueba el probador de CORS?
Muestra si un navegador dejaría que una página de un origen leyera la respuesta de otro, y por qué. La Simulación de política evalúa Access-Control-Allow-Origin, -Credentials, -Methods, -Headers, -Expose-Headers y -Max-Age, además de Vary: Origin, y marca cada comprobación como Correcto, Advertencia, Falla o Información junto al valor de cabecera que la explica.
¿Prueba en el navegador o Simulación de política?
La Prueba en el navegador hace un fetch real desde tu navegador, así que el resultado es la aplicación real de CORS, pero el origen siempre es CodingTool.dev y una solicitud bloqueada solo muestra un error genérico. La Simulación de política pide a los servidores de CodingTool que envíen la solicitud previa con el origen que elijas y analiza las cabeceras de respuesta. Es una simulación: el navegador aplica el resultado final.
¿Cuándo envía el navegador una solicitud previa?
Las solicitudes con un método distinto de GET, HEAD o POST, con una cabecera fuera del conjunto seguro de CORS o con un Content-Type distinto de text/plain, multipart/form-data o application/x-www-form-urlencoded se preceden de una solicitud OPTIONS. Esa solicitud previa debe responder con un estado 2xx y no debe redirigir.
Credenciales y comodines
Con credenciales, Access-Control-Allow-Origin debe indicar el origen exacto y Access-Control-Allow-Credentials debe ser true. Un * en Allow-Origin, Allow-Methods, Allow-Headers o Expose-Headers se toma de forma literal en solicitudes con credenciales, y Allow-Headers: * nunca cubre Authorization. Una cabecera permisiva no es automáticamente una vulnerabilidad; la herramienta indica lo que aceptan los navegadores.
Uso de red y privacidad
El tráfico de la Prueba en el navegador va solo de tu navegador al destino. La Simulación de política envía a los servidores de CodingTool la URL, el origen, el método y los nombres de cabecera, nunca valores de cabecera, cookies ni cuerpos. Los servidores bloquean direcciones privadas, locales y de metadatos en la nube, vuelven a comprobar la dirección en cada conexión, no siguen redirecciones, se detienen a los 8 segundos, tienen límite de uso y no guardan nada.
