Testador de CORS
CORS Tester
Envia o preflight que um navegador enviaria de uma origem escolhida mais um GET com aquele Origin, e explica pelas regras do padrão Fetch exatamente qual header bloqueou.
Uma falha de CORS no console nomeia o cabeçalho que faltou e quase nunca o motivo, e a requisição que o navegador realmente enviou não é a que está no seu código. Esta ferramenta envia o preflight que um navegador enviaria a partir de uma origem que você escolhe, depois um GET carregando essa Origin, e lê o resultado contra as regras do padrão Fetch.
Nosso servidor faz esta requisição por você. Enviamos a ele apenas a URL, a origem, o método e os nomes de cabeçalho que você digita — nenhum dos seus cookies nem seu login vai junto. O servidor só se conecta a endereços públicos e recusa os privados e internos.
Como usar
Informe a URL e a origem
A origem é o site *de onde* a requisição viria — a página que faz a chamada, não a API. Trocar os dois é o motivo mais comum para um teste discordar do navegador.
Adicione o método e os cabeçalhos que você realmente usa
Um preflight só acontece para requisições não simples. `Content-Type: application/json` ou um cabeçalho `Authorization` é o que o dispara, então deixá-los de fora testa uma requisição que você nunca faz.
Leia qual regra falhou
O resultado nomeia a verificação específica — origem não permitida, método não listado, cabeçalho não listado, credenciais com origem curinga — em vez de relatar uma falha genérica.
Perguntas frequentes
Passa aqui, mas o navegador ainda bloqueia.
Confira se método, cabeçalhos e modo de credenciais correspondem exatamente ao que o seu código envia, e se o servidor não varia a resposta por cookie ou por user agent. Isto roda a partir de um servidor, então uma resposta que depende de uma sessão que você tem vai diferir.
Por que `Access-Control-Allow-Origin: *` não funciona com cookies?
O padrão proíbe. Com `credentials: 'include'`, a origem precisa ser ecoada literalmente e `Access-Control-Allow-Credentials: true` precisa estar presente. Curinga com credenciais é rejeitado por projeto, não por um bug.
Isto roda no meu navegador?
Não — roda a partir de um servidor, porque um navegador não consegue fazer a requisição que o CORS bloqueia. Isso significa que ele vê a resposta pública, sem os seus cookies nem a sua posição na rede.
Posso testar um endereço interno?
Não. A requisição parte de um servidor que não consegue alcançar a sua rede, e endereços que só resolvem dentro dela vão falhar independentemente da configuração de CORS.
Pode receber de
Gerador de CSP
CSP Builder
Monta uma Content-Security-Policy a partir de um formulário guiado ou de um relatório, e explica cada diretiva.
Análise de headers de segurança
Security Header Scan
Avalia os headers HSTS, CSP, frame, referrer e permissions de um site e mostra o que adicionar.
Medidor de força de senha
Password Strength Meter
Estima quanto tempo uma senha levaria para ser quebrada, nomeando os padrões que a enfraquecem.
Gerador de código TOTP
TOTP Code Generator
Transforma um segredo TOTP no código de seis dígitos atual com contagem regressiva, para testar configurações de 2FA — o segredo fica na aba.
Em seguida
Estas aceitam o que esta ferramenta produz, então o resultado pode ir direto.
Gerador de CSP
CSP Builder
Monta uma Content-Security-Policy a partir de um formulário guiado ou de um relatório, e explica cada diretiva.
Cliente HTTP
HTTP Request Builder
Compõe e envia uma requisição GET/POST/PUT/PATCH/DELETE/HEAD com headers e corpo personalizados, e mostra status, headers, corpo e tempo — sem nunca repassar cookies ou Authorization.
Inspetor de headers HTTP
HTTP Header Inspector
Busca uma URL e mostra os headers completos da resposta, a cadeia de redirecionamentos, os tempos e a compressão usada.
Análise de headers de segurança
Security Header Scan
Avalia os headers HSTS, CSP, frame, referrer e permissions de um site e mostra o que adicionar.
Limpar CSV
CSV Cleaner
Apara células, normaliza cabeçalhos, corrige formatos de número e data e aponta as linhas com o número errado de colunas.
Juntar tabelas CSV
CSV Join
Junta duas tabelas por uma coluna-chave com semântica inner, left, right ou outer e mostra as linhas sem correspondência.