Hva er CORS?

CORS (Cross-Origin Resource Sharing) er måten en server forteller nettlesere hvilke andre nettsteder som kan lese svarene fra den. Som standard kan JavaScript på https://app.example.com sende en forespørsel til https://api.example.com, men nettleseren skjuler svaret med mindre API-et svarer med en Access-Control-Allow-Origin-header som angir sidens opprinnelse, eller *.

For alt som går utover en enkel GET-forespørsel eller en enkel POST-forespørsel fra et skjema, for eksempel PUT, DELETE eller en JSON-kropp med en Authorization-header, ber nettleseren først om tillatelse med en preflight-forespørsel: en OPTIONS-forespørsel som oppgir metoden og headerne den vil bruke. Den faktiske forespørselen sendes bare hvis serverens svar tillater det.

Beskrivelse av verktøyet

Skriv inn URL-en siden din kaller, sidens opprinnelse, metoden og eventuelle egendefinerte forespørselsheadere, og trykk på Sjekk CORS. Serveren vår sender de samme forespørslene som en nettleser ville ha sendt, og bruker nettleserens regler på svarene:

  • Preflight-forespørselen (OPTIONS) med Access-Control-Request-Method og Access-Control-Request-Headers
  • En GET med Origin-headeren, for å lese CORS-headerne i et vanlig svar

Kontrollene viser hvilke regler som bestås eller ikke bestås, og tabellen viser alle CORS-headerne fra begge svarene. Metoden du velger, sendes aldri, så hvis du sjekker et DELETE-endepunkt, blir ingenting slettet.

Verktøyet sier også om forespørsler med cookies ville fungert. Slike forespørsler krever den nøyaktige opprinnelsen i stedet for *, samt Access-Control-Allow-Credentials: true.

AI-assistenter som er koblet til MCP-serveren Rapid Tool Set, kan utføre den samme kontrollen som cors_checker.

Tips

  • CORS-feil kommer fra nettleseren, ikke serveren. En forespørsel som fungerer i curl eller Postman, kan likevel bli blokkert i nettleseren fordi disse verktøyene ikke bruker CORS-reglene.
  • Hvis preflight-forespørselen får svaret 401 eller 404, behandler serveren OPTIONS som en vanlig forespørsel. Slipp gjennom preflight-forespørsler før du utfører autentiseringskontrollene.
  • Når serveren velger tillatt opprinnelse for hver forespørsel, bør den også sende Vary: Origin. Ellers kan et CDN servere svaret for ett nettsted til et annet.