Probador de CORS
CORS Tester
Envía la petición preflight que enviaría un navegador desde el origen que indiques, más un GET con esa cabecera Origin, y explica según las reglas del estándar Fetch qué cabecera lo bloqueó.
Un fallo de CORS en la consola nombra la cabecera que faltaba y casi nunca la razón, y la petición que el navegador envió realmente no es la que está en tu código. Esta herramienta envía el preflight que un navegador enviaría desde un origen que tú eliges, después un GET con ese Origin, y lee el resultado según las reglas del estándar Fetch.
Nuestro servidor hace esta solicitud por ti. Solo se le envía la URL, el origen, el método y los nombres de cabecera que escribes: ninguna de tus cookies ni tu sesión iniciada viaja con ella. El servidor solo se conecta a direcciones públicas y rechaza las privadas e internas.
Cómo se usa
Introduce la URL y el origen
El origen es el sitio *desde* el que vendría la petición: la página que hace la llamada, no la API. Ponerlos al revés es la razón más común de que una prueba no coincida con el navegador.
Añade el método y las cabeceras que usas de verdad
Un preflight solo ocurre para peticiones no simples. `Content-Type: application/json` o una cabecera `Authorization` es lo que lo dispara, así que omitirlas prueba una petición que nunca haces.
Lee qué regla falló
El resultado nombra la comprobación concreta —origen no permitido, método no listado, cabecera no listada, credenciales con un origen comodín— en lugar de informar de un fallo genérico.
Preguntas frecuentes
Aquí pasa, pero el navegador sigue bloqueándolo.
Comprueba que el método, las cabeceras y el modo de credenciales coinciden exactamente con lo que envía tu código, y que el servidor no varía su respuesta según la cookie o el agente de usuario. Esto corre desde un servidor, así que una respuesta que dependa de una sesión que tú tienes será distinta.
¿Por qué `Access-Control-Allow-Origin: *` no funciona con cookies?
El estándar lo prohíbe. Con `credentials: 'include'`, el origen debe devolverse literalmente y `Access-Control-Allow-Credentials: true` debe estar presente. Un comodín con credenciales se rechaza por diseño, no por un fallo.
¿Esto corre en mi navegador?
No. Corre desde un servidor, porque un navegador no puede hacer la petición que CORS bloquea. Eso significa que ve la respuesta pública, sin tus cookies ni tu posición en la red.
¿Puedo probar una dirección interna?
No. La petición se origina en un servidor que no puede llegar a tu red, y las direcciones que solo resuelven dentro de ella fallarán sea cual sea su configuración de CORS.
Puede recibir de
Constructor de políticas CSP
CSP Builder
Arma una cabecera Content-Security-Policy desde un formulario guiado o desde un informe de violaciones, y explica cada directiva.
Análisis de cabeceras de seguridad
Security Header Scan
Califica las cabeceras HSTS, CSP, de marcos, de referente y de permisos de un sitio y muestra cuáles faltan.
Medidor de fuerza de contraseñas
Password Strength Meter
Estima cuánto tardaría en descifrarse una contraseña y nombra los patrones que la debilitan, sin que la contraseña salga de tu navegador.
Generador de códigos TOTP
TOTP Code Generator
Convierte una clave secreta TOTP en el código de seis dígitos actual con cuenta regresiva, para probar configuraciones de verificación en dos pasos.
Después
Estas aceptan lo que produce esta herramienta, así que el resultado puede pasar directamente.
Constructor de políticas CSP
CSP Builder
Arma una cabecera Content-Security-Policy desde un formulario guiado o desde un informe de violaciones, y explica cada directiva.
Constructor de peticiones HTTP
HTTP Request Builder
Compone y envía una petición GET, POST, PUT, PATCH, DELETE o HEAD con cabeceras y cuerpo propios, y muestra el estado, las cabeceras, el cuerpo y el tiempo, sin reenviar nunca Cookie ni Authorization.
Inspector de cabeceras HTTP
HTTP Header Inspector
Pide una URL y muestra las cabeceras de respuesta completas, la cadena de redirecciones, los tiempos y la compresión usada.
Análisis de cabeceras de seguridad
Security Header Scan
Califica las cabeceras HSTS, CSP, de marcos, de referente y de permisos de un sitio y muestra cuáles faltan.
Limpiador de CSV
CSV Cleaner
Recorta los espacios de las celdas, uniforma los encabezados, arregla los formatos de número y fecha y avisa de las filas con un número de columnas equivocado.
Cruzar dos tablas CSV
CSV Join
Combina dos tablas por una columna clave con semántica interna, izquierda, derecha o externa, y muestra las filas que no encontraron pareja.