CORS Checker

Dit is de diagnose van één verzoek, geen headerdump. Je beschrijft de aanroep die je code doet - het eindpunt, de origin waarop hij draait, de methode, de headers die hij zet, of hij credentials meestuurt - en de tool zegt of een browser je de respons zou laten lezen, en welke controle dat precies bepaalde.

Wat er tijdens een analyse echt gebeurt

1. Voorbereiden van het verzoek precies zoals beschreven.
2. Classificeren als eenvoudig of preflight-plichtig, volgens de regels van de Fetch-standaard die een browser toepast.
3. De preflight testen met een echt OPTIONS-verzoek met Origin, Access-Control-Request-Method en waar nodig Access-Control-Request-Headers.
4. Het echte verzoek sturen, want de preflight alleen toont nooit de CORS-headers van de echte respons.
5. De lijst met toegestane origins peilen met één extra verzoek vanaf een origin die de server nooit heeft gezien.
6. Het rapport bouwen: oordeel, verloop van het verzoek, headers, bevindingen en de technische uitwisseling.

De peiling van de toegestane lijst

Een server die elke origin antwoordt met diezelfde origin ziet er identiek uit als een correct ingerichte toegestane lijst, zolang je alleen je eigen origin test. Eén verzoek vanaf een origin die de server nooit heeft gezien scheidt die twee, en dat telt, want een server die de origin terugkaatst in combinatie met credentials is precies de configuratie die een respons leesbaar maakt voor elke site die de gebruiker bezoekt.

Credentials veranderen de regels

Bevindingen, geen bijvoeglijke naamwoorden

Elke bevinding draagt een ernst, een categorie, de fase waaruit ze komt, het bewijs waarop ze steunt, de headers die ze betreft en een aanbeveling. De geslaagde controles staan er ook, dus een schoon resultaat is zichtbaar in plaats van alleen leeg. Twee regels die de aanbevelingen volgen, omdat het voor de hand liggende advies vaak het verkeerde is: niets hier zegt dat je een methode, header of origin moet openzetten alleen om een rood vak te laten verdwijnen - een geblokkeerde DELETE kan een correct afgesloten eindpunt zijn - en niets hier stelt ooit voor een willekeurige Origin terug te kaatsen. Het antwoord is een toegestane lijst, elke keer.

Wat het niet beweert

CORS bepaalt welke origins een respons binnen een browser mogen lezen. Het is geen authenticatie, het geeft geen rechten, en het stopt geen cross-site request forgery, want een CSRF-aanval hoeft de respons nooit te lezen. Elke client die geen browser is negeert het volledig. Deze tool zegt dat uitdrukkelijk, in plaats van een groen oordeel te laten suggereren dat je eindpunt beschermd is.