CORS-Header-Validator

• CORS-Spezifikationskonformitätsprüfung: Der CORS-Header-Validator prüft jeden Header anhand der offiziellen CORS-Spezifikation. Es validiert die Access-Control-Allow-Origin-Syntax und den Ursprungsabgleich, überprüft, ob Allow-Methods gültige HTTP-Methoden enthält, überprüft, ob Allow-Headers der richtigen Formatierung folgen und bestätigt, dass Allow-Credentials genau „wahr“ ist. Jede Prüfung bezieht sich auf die Spezifikation mit eindeutigen Pass/Fail-Ergebnissen.
• 7-Punkte-Header-Validierungssuite: Fügen Sie Ihre CORS-Antwortheader ein und der Validator führt 7 Spezifikationsprüfungen durch: Ursprungsvalidierung, Methodenüberprüfung, Header-Berechtigungsprüfung, Einhaltung von Anmeldeinformationen, Parsing mit maximalem Alter, Prüfung der exponierten Header und Vary-Header-Analyse für dynamisches Ursprungs-Caching. Jede Prüfung umfasst Schweregrade (Fehler, Warnung, Info), sodass Sie Korrekturen priorisieren können.
• Cross-Header-Konflikterkennung: Der Validator erkennt automatisch widersprüchliche CORS-Konfigurationen, die gegen die Spezifikation verstoßen. Es erkennt kritische Probleme wie die Verwendung eines Platzhalters „Allow-Origin“ mit „Allow-Credentials: true“, was die Spezifikation ausdrücklich verbietet. Es warnt außerdem vor einer übermäßig freizügigen Verwendung von Platzhaltern, fehlenden Vary: Origin-Headern und ungültigen Werten für das maximale Alter.
• Kostenlos und keine Anmeldung erforderlich: Validieren Sie CORS-Header in unbegrenzten Konfigurationen ohne Anmeldung, ohne API-Schlüssel und ohne Nutzungsbeschränkungen. Die gesamte Validierung erfolgt vollständig in Ihrem Browser – der Headertext verlässt niemals Ihr Gerät. Wir speichern, protokollieren oder verarbeiten keine Daten auf unseren Servern. Völlig kostenlos, für immer.

• Backend-CORS-Konfigurationsvalidierung: Backend-Entwickler, die CORS auf ihren APIs konfigurieren, können den CORS-Header-Validator verwenden, um ihre Server-Antwortheader vor der Bereitstellung zu überprüfen. Fügen Sie die Access-Control-*-Header aus Ihrer Serverkonfiguration ein und prüfen Sie sofort, ob sie der CORS-Spezifikation entsprechen. Der Validator erkennt häufige Fehler wie fehlende Header, ungültige Werte und widersprüchliche Einstellungen.
• Preflight-Antwort-Header-Analyse: Beim Debuggen von CORS-Preflight-Fehlern können Entwickler die Antwort-Header aus den DevTools des Browsers kopieren und in den CORS-Header-Validator einfügen. Der Validator analysiert die Header und führt alle Spezifikationsprüfungen durch, sodass Sie leicht genau erkennen können, welcher CORS-Header falsch konfiguriert ist und warum der Browser die Anfrage blockiert.
• CORS-Audit für Drittanbieter-APIs: Bevor Sie eine Drittanbieter-API integrieren, fügen Sie deren CORS-Header in den Validator ein, um zu überprüfen, ob die API den CORS-Best Practices entspricht. Der Validator markiert übermäßig freizügige Wildcard-Ursprünge, fehlende Vary-Header und andere Konfigurationsprobleme, die die Sicherheit oder Leistung Ihrer Anwendung beeinträchtigen könnten.
• Microservices-CORS-Richtlinienüberprüfung: Entwicklungsteams, die mehrere Microservices verwalten, können den CORS-Header-Validator verwenden, um CORS-Richtlinien in ihrem gesamten Service-Mesh zu prüfen. Fügen Sie Header von jedem Service-Endpunkt ein und stellen Sie eine konsistente CORS-Konfiguration sicher. Die detaillierte Pass/Fail-Analyse des Validators macht es einfach, Dienste mit falsch konfigurierten oder fehlenden CORS-Headern zu erkennen.
• Testen der SaaS-Einbettungskonfiguration: SaaS-Plattformen, die einbettbare Widgets oder JavaScript-SDKs anbieten, sind auf korrekte CORS-Header angewiesen. Verwenden Sie den CORS-Header-Validator, um zu überprüfen, ob Ihre eingebetteten Endpunkte den richtigen Access-Control-Allow-Origin für Kundendomänen zurückgeben und dass der Allow-Credentials-Header bei Verwendung der Authentifizierung ordnungsgemäß konfiguriert ist.
• Fehlerbehebung bei CORS-Fehlern: Wenn Benutzer CORS-Fehler in der Produktion melden, können Supporttechniker die Antwortheader des Servers nehmen und sie mit dem CORS Header Validator validieren. Das Tool erkennt genau, gegen welche Spezifikationsregel verstoßen wird – sei es ein fehlender Header, ein nicht übereinstimmender Ursprung oder eine verbotene Kombination aus Platzhalter und Anmeldeinformationen.

Bei der CORS-Header-Validierung wird überprüft, ob die CORS-Antwortheader eines Servers der Cross-Origin Resource Sharing-Spezifikation (W3C-Empfehlung) entsprechen. Wenn ein Browser eine Cross-Origin-Anfrage stellt, vergleicht er die Access-Control-*-Antwortheader des Servers mit den Anforderungen der Anfrage. Wenn die Header fehlen, fehlerhaft sind oder widersprüchliche Werte enthalten, blockiert der Browser die Anfrage und gibt einen CORS-Fehler aus. Durch die Validierung wird sichergestellt, dass die Header syntaktisch korrekt, untereinander konsistent und an den Spezifikationsanforderungen ausgerichtet sind, bevor sie in die Produktion gelangen.

1. Header einfügen: Kopieren Sie CORS-Antwortheader aus Ihrer Serverkonfiguration, der DevTools-Netzwerkregisterkarte Ihres Browsers oder der API-Dokumentation und fügen Sie sie als rohen Headertext in den Validator ein (z. B. Access-Control-Allow-Origin: https://example.com).
2. Erwartete Werte konfigurieren (optional): Geben Sie optional einen erwarteten Ursprung, eine HTTP-Methode oder benutzerdefinierte Header an. Dies ermöglicht eine Übereinstimmungsvalidierung – der Validator prüft, ob der Server die spezifische Konfiguration zulässt, die Ihre Anwendung benötigt.
3. Spezifikationsanalyse: Der Validator analysiert alle Header und führt dann für jeden eine Reihe von Spezifikationsprüfungen durch: Stimmt der Ursprung überein? Sind die Methoden gültig? Sind die Anmeldeinformationen richtig konfiguriert? Ist das Höchstalter eine gültige Zahl?
4. Ergebnisse mit Schweregrad: Jede Prüfung gibt ein Pass/Fail-Ergebnis mit einem Schweregrad zurück: Fehler (Spezifikationsverstoß, muss behoben werden), Warnung (Best Practice, sollte überprüft werden) oder Info (informativ, keine Aktion erforderlich). Das Gesamturteil zeigt den Status „Bestanden“, „Warnung“ oder „Nicht bestanden“ an.

• Access-Control-Allow-Origin: Überprüft, ob der Ursprung ein gültiger URI, * oder Null ist. Überprüft die Verwendung von Platzhaltern mit Anmeldeinformationen (laut Spezifikation verboten). Stimmt optional mit einem erwarteten Ursprung überein, falls angegeben.
• Access-Control-Allow-Methods: Überprüft, ob jede Methode eine gültige HTTP-Methode ist. Überprüft optional, ob eine erwartete Methode in der Liste enthalten ist. Warnt vor der Verwendung von Platzhaltern (wird nicht in allen Browsern unterstützt).
• Access-Control-Allow-Headers: Validiert Header-Namen und prüft optional, ob erwartete Header in der Liste enthalten sind. Kennzeichnet einfache Header (Accept, Content-Type), die nicht aufgelistet werden müssen.
• Access-Control-Allow-Credentials: Stellt sicher, dass der Wert genau wahr ist. Gegenprüfungen mit Allow-Origin – zeigt Platzhalter- und Anmeldeinformationskonflikte an.
• Access-Control-Max-Age: Validiert, dass der Wert eine nicht negative Ganzzahl ist. Warnt, wenn der Wert browserspezifische Obergrenzen überschreitet (Chrome: 7200s, Firefox: 86400s).
• Access-Control-Expose-Headers: Listet Header auf, auf die Client-JavaScript zugreifen kann. Flags, wenn einfache Header wie Cache-Control enthalten sind.
• Vary: Überprüft, ob Vary: Origin vorhanden ist, wenn dynamische Ursprünge (ohne Platzhalter) verwendet werden – entscheidend für das ordnungsgemäße CDN-Caching.

Der CORS Header Validator verarbeitet alle Daten vollständig in Ihrem Browser. Der von Ihnen eingefügte Kopfzeilentext, der von Ihnen eingegebene erwartete Ursprung und die Validierungsergebnisse verlassen niemals Ihr Gerät. Es werden keine Daten hochgeladen, gespeichert oder an einen Server übertragen. Dies bedeutet, dass Sie Header von Produktions-APIs, internen Diensten oder Kundenumgebungen ohne Bedenken hinsichtlich des Datenschutzes sicher validieren können. Da alles clientseitig läuft, gibt es auch keine Nutzungsbeschränkungen, es werden keine API-Schlüssel benötigt und das Tool funktioniert auch dann, wenn Sie nach dem ersten Laden der Seite offline sind.