¿Qué es CORS?

CORS (intercambio de recursos de origen cruzado) es el mecanismo mediante el cual un servidor indica a los navegadores qué otros sitios web pueden leer sus respuestas. De forma predeterminada, JavaScript en https://app.example.com puede enviar una solicitud a https://api.example.com, pero el navegador oculta la respuesta a menos que la API responda con un encabezado Access-Control-Allow-Origin que indique el origen de la página, o *.

Para cualquier solicitud que no sea un GET simple o un POST de formulario sencillo, como un PUT, un DELETE o una solicitud con un cuerpo JSON y un encabezado Authorization, el navegador primero pide permiso mediante una solicitud preflight: una solicitud OPTIONS que indica el método y los encabezados que quiere usar. La solicitud real solo se envía si la respuesta del servidor los permite.

Descripción de la herramienta

Introduce la URL a la que llama tu página, el origen de la página, el método y los encabezados de solicitud personalizados que quieras usar; luego, pulsa Comprobar CORS. Nuestro servidor envía las mismas solicitudes que enviaría un navegador y aplica las reglas del navegador a las respuestas:

  • La solicitud preflight (OPTIONS) con Access-Control-Request-Method y Access-Control-Request-Headers
  • Una solicitud GET con el encabezado Origin, para leer los encabezados CORS de una respuesta normal

Las comprobaciones indican qué reglas se cumplen y cuáles no, y la tabla enumera todos los encabezados CORS de ambas respuestas. El método que eliges nunca se envía, así que comprobar un endpoint DELETE no elimina nada.

La herramienta también indica si funcionarían las solicitudes con cookies. Estas necesitan el origen exacto en lugar de * y Access-Control-Allow-Credentials: true.

Los asistentes de IA conectados al servidor MCP de Rapid Tool Set pueden realizar la misma comprobación con cors_checker.

Consejos

  • Los errores de CORS los produce el navegador, no el servidor. Una solicitud que funciona con curl o Postman puede seguir bloqueándose en el navegador, porque esas herramientas no aplican CORS.
  • Si la respuesta a la solicitud preflight es 401 o 404, el servidor está tratando OPTIONS como una solicitud normal. Permite las solicitudes preflight antes de realizar las comprobaciones de autenticación.
  • Cuando el servidor elige el origen permitido para cada solicitud, también debería enviar Vary: Origin; de lo contrario, una CDN podría servir a un sitio la respuesta de otro.