Тестер CORS и анализатор политики
Проверьте CORS в браузере или смоделируйте предварительный запрос с любым Origin
Запрос
Симуляция с помощью серверного запроса; фактический результат применяет браузер. Серверы CodingTool отправляют предварительный запрос, а для этих методов ещё GET или HEAD, без cookie, значений заголовков и тела, и возвращают только заголовки ответа. Ничего не сохраняется.
Отправляется как заголовок Origin. Укажите null, чтобы проверить страницы в песочнице или локальные файлы.
По одному в строке. На сервер передаются только имена заголовков, значения остаются в браузере.
Простой запрос: браузер отправляет его без предварительного запроса.
Проверяет правила для запросов с cookie или HTTP-аутентификацией. Ничего из этого не отправляется.
Отправляет ещё один предварительный запрос с посторонним источником https://cors-probe.example.
Результаты
Заголовки ответа
Заголовки ответа появятся здесь после проверки.
Связанные инструменты
Что проверяет тестер CORS?
Он показывает, позволит ли браузер веб-странице одного источника прочитать ответ другого, и почему. Симуляция политики оценивает Access-Control-Allow-Origin, -Credentials, -Methods, -Headers, -Expose-Headers и -Max-Age, а также Vary: Origin, и помечает каждую проверку как «Успешно», «Предупреждение», «Ошибка» или «Сведения» вместе со значением заголовка, на котором основан вывод.
Проверка в браузере или симуляция политики?
Проверка в браузере отправляет настоящий fetch из вашего браузера, поэтому результат отражает реальное применение CORS, но источником всегда будет CodingTool.dev, а заблокированный запрос сообщает лишь общую ошибку. Симуляция политики просит серверы CodingTool отправить предварительный запрос с выбранным вами источником и анализирует заголовки ответа. Это симуляция: окончательный результат применяет браузер.
Когда браузер отправляет предварительный запрос?
Запросы с методом, отличным от GET, HEAD или POST, с заголовком вне безопасного списка CORS или с Content-Type, отличным от text/plain, multipart/form-data и application/x-www-form-urlencoded, предваряются запросом OPTIONS. Предварительный запрос должен вернуть статус 2xx и не должен перенаправляться.
Учётные данные и подстановочные знаки
С учётными данными Access-Control-Allow-Origin должен указывать точный источник, а Access-Control-Allow-Credentials должен быть true. Символ * в Allow-Origin, Allow-Methods, Allow-Headers или Expose-Headers для запросов с учётными данными трактуется буквально, а Allow-Headers: * никогда не покрывает Authorization. Разрешающий заголовок сам по себе не является уязвимостью: инструмент сообщает, что принимают браузеры.
Сеть и конфиденциальность
Трафик проверки в браузере идёт только от вашего браузера к цели. Симуляция политики отправляет на серверы CodingTool URL, источник, метод и имена заголовков, но никогда не значения заголовков, cookie или тело. Серверы блокируют частные, локальные и облачные адреса метаданных, перепроверяют адрес при каждом подключении, не следуют перенаправлениям, прекращают работу через 8 секунд, ограничивают частоту запросов и ничего не сохраняют.
