CORS tester
Indica la URL a la que llamas y el origen desde el que llamas. Hacemos la petición desde nuestro servidor y te decimos qué cabecera Access-Control falta o está mal.
La petición que quieres hacer
Esta herramienta funciona en nuestros servidores. Hacemos la petición desde una dirección pública y te mostramos las cabeceras que volvieron, y nunca enviamos tus cookies ni un cuerpo.
Qué es CORS y qué es un preflight
Un navegador no deja que un origen lea la respuesta de otro salvo que el segundo lo autorice. Lo autoriza con Access-Control-Allow-Origin en la respuesta. Para cualquier cosa que vaya más allá de un GET o un POST simple con cabeceras corrientes, el navegador pregunta antes con una petición OPTIONS llamada preflight, y solo envía la petición real si la respuesta permite el método y las cabeceras que va a usar.
Cómo leer el veredicto
Cada fila es una cabecera que el navegador mira, con el valor que llegó al lado. Una fila marcada como fallida es un motivo por el que la petición se bloquea, y el aviso de arriba nombra el primero, porque es el que hay que arreglar antes. Las filas marcadas como información no cambian nada por sí solas. Debajo está la petición exacta que enviamos y las cabeceras que volvieron, para que puedas pasarle el intercambio entero a quien lleve el servidor.
Qué cabecera arregla qué fallo
Access-Control-Allow-Origin es la primera que hay que enviar, y tiene que nombrar tu origen exactamente, con esquema y puerto, o ser un asterisco. Access-Control-Allow-Methods y Access-Control-Allow-Headers solo cuentan en el preflight, y cada una tiene que listar lo que el navegador pidió. Access-Control-Allow-Credentials tiene que ser la cadena true antes de que se envíen cookies, y no se combina con un origen en asterisco. Access-Control-Expose-Headers es lo que permite a JavaScript leer algo más que el puñado de cabeceras que los navegadores entregan por defecto.
Deja de adivinar qué cabecera no envió el servidor
Una petición bloqueada se ve igual desde fuera sea cual sea la causa. Session Replay graba la petición, las cabeceras de la respuesta y la línea de consola juntas, así que quien la mire después ya lo tiene todo delante.