Qu’est-ce que CORS ?

CORS (partage des ressources entre origines) est le mécanisme qui permet à un serveur d’indiquer aux navigateurs quels autres sites web peuvent lire ses réponses. Par défaut, JavaScript sur https://app.example.com peut envoyer une requête à https://api.example.com, mais le navigateur masque la réponse, sauf si l’API renvoie un en-tête Access-Control-Allow-Origin qui indique l’origine de la page, ou *.

Pour toute requête autre qu’un GET simple ou un POST de formulaire simple, par exemple un PUT, un DELETE ou une requête avec un corps JSON et un en-tête Authorization, le navigateur demande d’abord l’autorisation au moyen d’une requête de pré-vérification : une requête OPTIONS qui indique la méthode et les en-têtes qu’il souhaite utiliser. La requête réelle n’est envoyée que si la réponse du serveur les autorise.

Description de l’outil

Saisissez l’URL appelée par votre page, l’origine de la page, la méthode et les éventuels en-têtes de requête personnalisés, puis cliquez sur Vérifier CORS. Notre serveur envoie les mêmes requêtes qu’un navigateur et applique aux réponses les règles du navigateur :

  • La requête de pré-vérification (OPTIONS) avec Access-Control-Request-Method et Access-Control-Request-Headers
  • Une requête GET avec l’en-tête Origin, pour lire les en-têtes CORS d’une réponse normale

Les vérifications indiquent quelle règle est respectée ou non, et le tableau répertorie tous les en-têtes CORS des deux réponses. La méthode que vous choisissez n’est jamais envoyée : vérifier un point de terminaison DELETE ne supprime donc rien.

L’outil indique également si les requêtes avec des cookies fonctionneraient. Elles nécessitent l’origine exacte plutôt que *, ainsi que Access-Control-Allow-Credentials: true.

Les assistants IA connectés au serveur MCP Rapid Tool Set peuvent lancer la même vérification avec cors_checker.

Conseils

  • Les erreurs CORS proviennent du navigateur, pas du serveur. Une requête qui fonctionne avec curl ou Postman peut tout de même être bloquée dans le navigateur, car ces outils n’appliquent pas CORS.
  • Si la réponse à la pré-vérification est 401 ou 404, le serveur traite OPTIONS comme une requête normale. Autorisez les requêtes de pré-vérification avant vos vérifications d’authentification.
  • Lorsque le serveur choisit l’origine autorisée pour chaque requête, il doit également envoyer Vary: Origin, sinon un CDN risque de servir à un site la réponse destinée à un autre.