Encuentra la comprobación que bloquea tu petición cross-origin
¿Dejaría un navegador que tu código leyera esta respuesta? Y si no, qué comprobación dijo que no.
Esto es el diagnóstico de una petición, no un volcado de cabeceras. Describes la llamada que hace tu código - el punto final, el origen en el que se ejecuta, el método, las cabeceras que pone, si envía credenciales - y la herramienta dice si un navegador te dejaría leer la respuesta y qué comprobación concreta lo decidió.
Un servidor que responde a cualquier origen con ese mismo origen parece idéntico a una lista de permitidos bien configurada si solo pruebas el tuyo. Una petición desde un origen que el servidor nunca ha visto separa los dos casos, y eso importa porque un servidor que devuelve el origen como eco, junto con credenciales, es exactamente la configuración que hace que una respuesta sea legible por cualquier sitio que visite ese usuario.
| Cabecera | Con credenciales |
|---|---|
| Access-Control-Allow-OriginSin comodín | Debe nombrar el origen. Un asterisco se rechaza sin más, incluso junto a Access-Control-Allow-Credentials: true. |
| Allow-Methods, Allow-Headers, Expose-HeadersLiteral | Un asterisco deja de ser comodín y se lee como un nombre literal de cabecera o de método. |
| Access-Control-Allow-CredentialsObligatoria | Su único valor aceptado es la cadena exacta true, en minúsculas. |
Cada hallazgo lleva una gravedad, una categoría, la fase de la que viene, la evidencia en la que se apoya, las cabeceras a las que afecta y una recomendación. Las comprobaciones superadas también se listan, así que un resultado limpio se ve en lugar de quedar simplemente vacío. Dos reglas que siguen las recomendaciones, porque el consejo obvio suele ser el equivocado: aquí nada te dice que abras un método, una cabecera o un origen solo para que desaparezca un recuadro rojo - un DELETE bloqueado puede ser un punto final correctamente cerrado - y aquí nada sugiere nunca devolver como eco un origen arbitrario. La respuesta es una lista de permitidos, siempre.
CORS decide qué orígenes pueden leer una respuesta dentro de un navegador. No es autenticación, no concede permisos y no detiene la falsificación de peticiones entre sitios, porque un ataque CSRF nunca necesita leer la respuesta. Cualquier cliente que no sea un navegador lo ignora por completo. Esta herramienta lo dice explícitamente, en lugar de dejar que un veredicto verde insinúe que tu punto final está protegido.
Las capacidades más importantes explicadas de forma práctica.
Permitida o bloqueada, para exactamente el método, las cabeceras, el origen y el modo de credenciales que describes, con la comprobación que lo decidió, nombrada. No es una lista de cabeceras que tengas que interpretar tú.
Seis etapas, cada una informada en cuanto se resuelve. La comprobación previa OPTIONS sale como la enviaría un navegador, y detrás va la petición real, porque la comprobación previa por sí sola nunca muestra las cabeceras CORS de la respuesta real.
Una petición solo es simple si el método es GET, HEAD o POST y todas las cabeceras están en la lista segura de CORS, con Content-Type limitado a tres valores. La herramienta aplica la regla en lugar de adivinar, y de ahí suele venir la petición OPTIONS inesperada.
Una petición extra desde un origen que el servidor nunca ha visto separa una lista de permitidos auténtica de un servidor que devuelve como eco lo que reciba. Esos dos casos parecen idénticos si solo pruebas tu propio origen.
Un origen comodín pasa a ser inválido, y los asteriscos en Allow-Methods, Allow-Headers y Expose-Headers dejan de ser comodines y se leen como nombres literales. El análisis aplica el conjunto de reglas más estricto, no el más conocido.
Un navegador reinicia su comprobación CORS en cada redirección, así que cada salto se evalúa de nuevo antes de seguirlo. Una cadena que acaba en un sitio permisivo puede estar bloqueada igualmente por el camino.
Hasta diez orígenes adicionales probados contra el mismo punto final y mostrados en una tabla, la forma más rápida de confirmar que local, preproducción y producción están en la lista de permitidos y nada más.
Cada uno lleva una gravedad, una categoría, la fase de la que viene, la evidencia que lo sostiene y las cabeceras a las que afecta, junto a las comprobaciones superadas. Ninguna recomendación te dice que abras un método, una cabecera o un origen solo para que desaparezca un aviso.
Un camino claro desde la fuente oficial hasta tu primer flujo completado.
Utiliza uno de los enlaces oficiales disponibles para tu dispositivo o navegador.
Sigue las instrucciones de la tienda o abre la aplicación web. Sin instaladores de terceros.
Revisa las opciones, elige tus preferencias y comienza con el flujo principal.
Una visión transparente de las tecnologías principales utilizadas para crear y mantener este producto.
Tus datos permanecen en tu dispositivo. Siempre.
