Verifica CORS
CORS Tester
Invia la preflight che manderebbe un browser da un’origine scelta più una GET con quell’Origin, e spiega secondo le regole dello standard Fetch quale intestazione ha bloccato la richiesta.
Un errore CORS nella console nomina l’intestazione che mancava e quasi mai la ragione, e la richiesta che il browser ha davvero inviato non è quella che sta nel codice. Questo strumento invia il preflight che un browser invierebbe da un’origine scelta da chi lo usa, poi una GET che porta quell’Origin, e legge il risultato secondo le regole dello standard Fetch.
Questa richiesta la fa il nostro server al posto tuo. Gli inviamo solo l’URL, l’origine, il metodo e i nomi di header che scrivi: nessuno dei tuoi cookie e nessuno stato di accesso parte insieme. Il server si collega soltanto a indirizzi pubblici e rifiuta quelli privati e interni.
Come si usa
Inserire l’URL e l’origine
L’origine è il sito *da cui* partirebbe la richiesta: la pagina che fa la chiamata, non l’API. Invertire le due è il motivo più frequente per cui una prova non concorda con il browser.
Aggiungere il metodo e le intestazioni che si usano davvero
Un preflight avviene solo per le richieste non semplici. A farlo scattare sono `Content-Type: application/json` o un’intestazione `Authorization`, quindi lasciarli fuori significa mettere alla prova una richiesta che non si fa mai.
Leggere quale regola non è stata soddisfatta
Il risultato nomina il controllo preciso — origine non consentita, metodo non elencato, intestazione non elencata, credenziali con origine jolly — invece di riferire un fallimento generico.
Domande frequenti
Qui passa ma il browser continua a bloccarla.
Va controllato che metodo, intestazioni e modalità delle credenziali corrispondano esattamente a quello che invia il codice, e che il server non faccia variare la risposta in base al cookie o allo user agent. Questa prova parte da un server, quindi una risposta che dipende da una sessione attiva sarà diversa.
Perché `Access-Control-Allow-Origin: *` non funziona con i cookie?
Lo standard lo vieta. Con `credentials: 'include'` l’origine deve essere restituita alla lettera e `Access-Control-Allow-Credentials: true` deve essere presente. Un jolly con le credenziali è rifiutato per progetto, non per un difetto.
Gira nel mio browser?
No: gira da un server, perché un browser non può fare la richiesta che il CORS blocca. Vuol dire che vede la risposta pubblica, senza i cookie di chi lo usa e senza la sua posizione di rete.
Posso mettere alla prova un indirizzo interno?
No. La richiesta parte da un server che non può raggiungere la rete locale, e gli indirizzi che si risolvono soltanto al suo interno falliranno a prescindere dalla loro configurazione CORS.
Può ricevere da
Creazione di una policy CSP
CSP Builder
Costruisce una Content-Security-Policy da un modulo guidato o da un rapporto di violazione, e spiega ogni direttiva.
Analisi delle intestazioni di sicurezza
Security Header Scan
Dà un voto alle intestazioni HSTS, CSP, di frame, di referrer e di permessi di un sito e mostra che cosa aggiungere.
Misuratore di robustezza delle password
Password Strength Meter
Stima quanto tempo servirebbe per forzare una password, indicando gli schemi che la indeboliscono.
Generatore di codici TOTP
TOTP Code Generator
Trasforma un segreto TOTP nel codice a sei cifre del momento, con il conto alla rovescia, per provare una configurazione di verifica in due passaggi.
Dopo
Questi accettano ciò che produce questo strumento, così il risultato può passare direttamente.
Creazione di una policy CSP
CSP Builder
Costruisce una Content-Security-Policy da un modulo guidato o da un rapporto di violazione, e spiega ogni direttiva.
Costruttore di richieste HTTP
HTTP Request Builder
Compone e invia una richiesta GET, POST, PUT, PATCH, DELETE o HEAD con intestazioni e corpo a piacere, e mostra stato, intestazioni, corpo e tempi — senza mai inoltrare i cookie né l’header Authorization.
Ispettore di intestazioni HTTP
HTTP Header Inspector
Richiede un URL e mostra tutte le intestazioni di risposta, la catena di redirect, i tempi e la compressione usata.
Analisi delle intestazioni di sicurezza
Security Header Scan
Dà un voto alle intestazioni HSTS, CSP, di frame, di referrer e di permessi di un sito e mostra che cosa aggiungere.
Pulizia di un CSV
CSV Cleaner
Ripulisce gli spazi nelle celle, uniforma le intestazioni, sistema i formati di numeri e date e segnala le righe con il numero di colonne sbagliato.
Unire due tabelle su una chiave
CSV Join
Unisce due tabelle su una colonna chiave con logica interna, sinistra, destra o esterna, e mostra le righe che non hanno trovato corrispondenza.