Was ist CORS?

CORS (Ressourcenfreigabe zwischen verschiedenen Ursprüngen) legt fest, wie ein Server Browsern mitteilt, von welchen anderen Websites sie seine Antworten lesen dürfen. Standardmäßig kann JavaScript auf https://app.example.com eine Anfrage an https://api.example.com senden, aber der Browser blendet die Antwort aus, sofern die API nicht mit einem Access-Control-Allow-Origin-Header antwortet, der den Ursprung der Seite oder * angibt.

Bei allem, was über ein einfaches GET oder ein einfaches Formular-POST hinausgeht, etwa einem PUT, einem DELETE oder einem JSON-Body mit einem Authorization-Header, fragt der Browser zunächst mit einer Preflight-Anfrage um Erlaubnis: einer OPTIONS-Anfrage, in der die Methode und die Header aufgeführt sind, die er verwenden möchte. Nur wenn die Antwort des Servers dies zulässt, wird die eigentliche Anfrage gesendet.

Beschreibung des Tools

Gib die URL an, die deine Seite aufruft, den Ursprung der Seite, die Methode und alle benutzerdefinierten Anfrage-Header. Klicke anschließend auf „CORS prüfen“. Unser Server sendet dieselben Anfragen wie ein Browser und wertet die Antworten nach den Regeln des Browsers aus:

  • Die Preflight-Anfrage (OPTIONS) mit Access-Control-Request-Method und Access-Control-Request-Headers
  • Eine GET-Anfrage mit dem Origin-Header, um die CORS-Header einer normalen Antwort auszulesen

Die Prüfungen zeigen, welche Regel erfüllt ist und welche nicht. In der Tabelle sind alle CORS-Header aus beiden Antworten aufgeführt. Die ausgewählte Methode wird niemals gesendet. Wenn du also einen DELETE-Endpunkt prüfst, wird nichts gelöscht.

Das Tool zeigt außerdem an, ob Anfragen mit cookies funktionieren würden. Dafür ist der genaue Ursprung statt * sowie Access-Control-Allow-Credentials: true erforderlich.

KI-Assistenten, die mit dem Rapid Tool Set MCP-Server verbunden sind, können dieselbe Prüfung als cors_checker ausführen.

Tipps

  • CORS-Fehler werden vom Browser verursacht, nicht vom Server. Eine Anfrage, die mit curl oder Postman funktioniert, kann im Browser trotzdem blockiert werden, da diese Tools CORS nicht anwenden.
  • Wenn die Preflight-Anfrage mit 401 oder 404 beantwortet wird, behandelt der Server OPTIONS wie eine normale Anfrage. Lasse Preflight-Anfragen passieren, bevor du deine Authentifizierungsprüfungen ausführst.
  • Wenn der Server den zulässigen Ursprung für jede Anfrage individuell festlegt, sollte er auch Vary: Origin senden. Andernfalls könnte ein CDN die Antwort für eine Website an eine andere ausliefern.