Trouver le contrôle qui bloque votre requête cross-origin
Un navigateur laisserait-il votre code lire cette réponse ? Et sinon, quel contrôle a dit non.
C'est le diagnostic d'une requête, pas un vidage d'en-têtes. Vous décrivez l'appel que fait votre code - le point de terminaison, l'origine sur laquelle il s'exécute, la méthode, les en-têtes qu'il pose, s'il envoie des identifiants - et l'outil dit si un navigateur vous laisserait lire la réponse, et quel contrôle précis en a décidé.
Un serveur qui répond à chaque origine par cette même origine paraît identique à une liste d'autorisation correctement configurée si vous ne testez jamais que la vôtre. Une requête depuis une origine que le serveur n'a jamais vue sépare les deux cas, et cela compte, car un serveur qui renvoie l'origine en écho, combiné à des identifiants, est exactement la configuration qui rend une réponse lisible par tous les sites que visite son utilisateur.
| En-tête | Avec identifiants |
|---|---|
| Access-Control-Allow-OriginPas d'astérisque | Doit nommer l'origine. Un astérisque est refusé net, même à côté d'Access-Control-Allow-Credentials: true. |
| Allow-Methods, Allow-Headers, Expose-HeadersLittéral | Un astérisque cesse d'être un joker et se lit comme un nom littéral d'en-tête ou de méthode. |
| Access-Control-Allow-CredentialsObligatoire | Sa seule valeur acceptée est la chaîne exacte true, en minuscules. |
Chaque constat porte une gravité, une catégorie, la phase dont il vient, la preuve sur laquelle il s'appuie, les en-têtes qu'il concerne et une recommandation. Les contrôles réussis sont listés aussi, si bien qu'un résultat propre est visible et pas seulement vide. Deux règles que suivent les recommandations, car le conseil évident est souvent le mauvais : rien ici ne vous dit d'ouvrir une méthode, un en-tête ou une origine juste pour faire disparaître un encadré rouge - un DELETE bloqué peut être un point de terminaison correctement verrouillé - et rien ici ne suggère jamais de renvoyer en écho une origine arbitraire. La réponse est une liste d'autorisation, à chaque fois.
CORS décide quelles origines peuvent lire une réponse à l'intérieur d'un navigateur. Ce n'est pas de l'authentification, cela n'accorde aucune permission, et cela n'arrête pas la falsification de requête inter-sites, car une attaque CSRF n'a jamais besoin de lire la réponse. Tout client qui n'est pas un navigateur l'ignore entièrement. Cet outil le dit explicitement, plutôt que de laisser un verdict vert suggérer que votre point de terminaison est protégé.
Les fonctions essentielles expliquées de manière concrète.
Autorisée ou bloquée, pour exactement la méthode, les en-têtes, l'origine et le mode d'identifiants que vous décrivez, avec le contrôle qui en a décidé, nommé. Pas une liste d'en-têtes laissée à votre interprétation.
Six étapes, chacune rapportée dès qu'elle est arrêtée. Le préambule OPTIONS part comme un navigateur l'enverrait, puis vient la vraie requête, car le préambule seul ne montre jamais les en-têtes CORS de la vraie réponse.
Une requête n'est simple que si la méthode est GET, HEAD ou POST et que chaque en-tête figure sur la liste sûre CORS, Content-Type se limitant à trois valeurs. L'outil applique la règle au lieu de deviner, et c'est en général de là que vient la requête OPTIONS inattendue.
Une requête supplémentaire portant une origine que le serveur n'a jamais vue sépare une vraie liste d'autorisation d'un serveur qui renvoie en écho tout ce qu'il reçoit. Ces deux cas paraissent identiques si vous ne testez que votre propre origine.
Une origine en joker devient invalide, et les astérisques dans Allow-Methods, Allow-Headers et Expose-Headers cessent d'être des jokers et se lisent comme des noms littéraux. L'analyse applique le jeu de règles le plus strict, pas le plus courant.
Un navigateur recommence son contrôle CORS à chaque redirection, chaque saut est donc réévalué avant d'être suivi. Une chaîne qui finit dans un endroit permissif peut malgré tout être bloquée en chemin.
Jusqu'à dix origines supplémentaires testées contre le même point de terminaison et présentées en tableau, le moyen le plus rapide de confirmer que le local, la préproduction et la production sont toutes sur la liste d'autorisation, et rien de plus.
Chacun porte une gravité, une catégorie, la phase dont il vient, la preuve qui le fonde et les en-têtes qu'il concerne, à côté des contrôles réussis. Aucune recommandation ne vous dit d'ouvrir une méthode, un en-tête ou une origine juste pour faire disparaître un avertissement.
Un parcours clair de la source officielle à votre première utilisation réussie.
Utilisez l'un des liens officiels disponibles pour votre appareil ou votre navigateur.
Suivez les instructions de la boutique ou ouvrez l'application web. Aucun programme d'installation tiers.
Consultez les options, choisissez vos préférences et commencez par le flux principal.
Une vue transparente des technologies principales utilisées pour créer et maintenir ce produit.
Vos données restent sur votre appareil. Toujours.
