Pemeriksa Akses-Kontrol-Izinkan-Asal

• Validasi Keamanan CORS: Tempelkan header CORS Anda dan langsung periksa apakah header tersebut mengikuti praktik keamanan terbaik. Validator kami memeriksa Access-Control-Allow-Origin, Access-Control-Allow-Credentials, Access-Control-Allow-Methods, Access-Control-Allow-Headers, Access-Control-Expose-Headers, dan Access-Control-Max-Age terhadap pola keamanan yang diketahui.
• Deteksi Kesalahan Konfigurasi Kritis: Mendeteksi konfigurasi CORS berbahaya yang dapat menyebabkan kerentanan keamanan: asal karakter pengganti (*) dikombinasikan dengan kredensial, asal nol, URL asal tidak valid, garis miring pada asal, dan daftar header atau metode yang terlalu permisif. Setiap masalah mencakup peringkat tingkat keparahan dan penjelasan yang jelas.
• Tingkat Keamanan Instan (A+ hingga F): Dapatkan tingkat keamanan langsung dari A+ (sangat baik) hingga F (masalah kritis) dengan skor numerik dari 100. Nilai tersebut mencerminkan keseluruhan postur keamanan konfigurasi CORS Anda dan membantu Anda memprioritaskan masalah mana yang harus diatasi terlebih dahulu.
• 100% Pribadi & Sisi Klien: Semua validasi header CORS dilakukan sepenuhnya di browser Anda menggunakan JavaScript. Header Anda tidak pernah meninggalkan perangkat Anda - tidak ada unggahan, tidak ada pemrosesan server, tidak ada pencatatan. Periksa konfigurasi CORS internal yang sensitif dengan privasi lengkap.

• Audit Keamanan API: Audit konfigurasi API CORS Anda untuk memastikan permintaan lintas asal dibatasi dengan benar. Periksa apakah titik akhir sensitif tidak menggunakan asal karakter pengganti, kredensial hanya diizinkan jika diperlukan secara eksplisit, dan metode serta header yang diizinkan minimal.
• Penemuan Kesalahan Konfigurasi CORS: Selama penilaian keamanan, tempelkan header CORS dari server mana pun untuk dengan cepat mengidentifikasi konfigurasi yang terlalu permisif. Deteksi asal karakter pengganti dengan kredensial, asal null yang memungkinkan eksploitasi sandbox, atau format asal tidak valid yang menyebabkan kesalahan browser.
• Verifikasi CORS Pra-Produksi: Sebelum menerapkan API atau aplikasi web baru, validasi konfigurasi CORS Anda terhadap praktik terbaik keamanan. Pastikan kebijakan CORS produksi memiliki cakupan yang tepat dan konfigurasi permisif tahap pengembangan tidak diterapkan secara tidak sengaja.
• Debugging Kesalahan CORS Browser: Saat men-debug kesalahan CORS di browser, gunakan alat ini untuk memeriksa apakah header CORS yang dikembalikan oleh server diformat dengan benar. Validasi apakah asal cocok, kredensial dikonfigurasi dengan benar, dan header Access-Control-Allow-Origin ada.
• Pemeriksaan CORS API Pihak Ketiga: Periksa konfigurasi CORS API pihak ketiga yang ingin Anda integrasikan. Verifikasi bahwa mereka mengizinkan asal Anda, bahwa header respons menyertakan metode dan header yang Anda perlukan, dan bahwa kebijakan CORS mereka mengikuti praktik keamanan terbaik.
• Konfigurasi CDN & Aset Statis: Validasi header CORS untuk sumber daya yang dihosting CDN seperti font, skrip, dan stylesheet. Pastikan penyajian aset lintas asal dikonfigurasi dengan benar sehingga browser dapat memuat sumber daya dengan aman sekaligus menjaga performa.

Header Access-Control-Allow-Origin (ACAO) adalah header respons CORS (Cross-Origin Resource Sharing) yang memberi tahu browser apakah aplikasi web yang berjalan di satu asal dapat mengakses sumber daya dari asal berbeda. Saat browser membuat permintaan lintas asal, browser akan memeriksa header ACAO di respons server untuk menentukan apakah asal permintaan diizinkan membaca respons. Jika header tidak ada atau tidak cocok dengan asal permintaan, browser memblokir respons dan memunculkan kesalahan CORS.

Header ACAO menerima asal tertentu (misalnya https://example.com ), karakter pengganti ( * ) yang mengizinkan asal apa pun, atau null untuk kasus khusus. Pilihan antara asal tertentu dan karakter pengganti memiliki implikasi keamanan yang signifikan dan harus dipertimbangkan secara cermat berdasarkan apakah API menyajikan data sensitif.

Alat kami mem-parsing header CORS dan mengevaluasinya berdasarkan praktik keamanan terbaik.

1. Penguraian header - Alat ini membaca masukan dan mengidentifikasi hingga 6 header respons CORS: Access-Control-Allow-Origin, Access-Control-Allow-Credentials, Access-Control-Allow-Methods, Access-Control-Allow-Headers, Access-Control-Expose-Headers, dan Access-Control-Max-Age. Ini mendukung nilai mentah (hanya asal) dan header lengkap: format nilai.
2. Analisis keamanan - Setiap header diperiksa untuk mengetahui masalah keamanan: asal wildcard dengan kredensial (ditolak oleh browser), asal null (risiko eksploitasi kotak pasir), URL asal tidak valid, garis miring, metode duplikat, dan penggunaan wildcard yang tidak sesuai. Setiap temuan diklasifikasikan berdasarkan tingkat keparahan (kesalahan, peringatan, info).
3. Perhitungan nilai - Berdasarkan temuan, skor 0-100 dihitung dan diubah menjadi nilai huruf dari A+ (sangat baik) hingga F (masalah kritis). Nilai tersebut mencerminkan keseluruhan postur keamanan konfigurasi CORS Anda.

Memahami kesalahan konfigurasi CORS yang umum ini membantu Anda membangun aplikasi web yang lebih aman:

• Wildcard dengan kredensial - Menggunakan Access-Control-Allow-Origin: * bersama dengan Access-Control-Allow-Credentials: true secara eksplisit dilarang oleh spesifikasi CORS. Browser akan menolak permintaan dengan kombinasi ini sepenuhnya. Gunakan asal tertentu ketika kredensial diperlukan.
• Asal yang terlalu permisif - Menggunakan karakter pengganti ( * ) untuk asal yang diizinkan akan mengekspos API Anda ke situs web mana pun. Hal ini sesuai untuk titik akhir data publik yang tidak sensitif, namun sebaiknya dihindari jika melibatkan autentikasi atau data khusus pengguna.
• Tunjangan asal nol - Menyetel Access-Control-Allow-Origin: null memungkinkan iframe dalam kotak pasir dan file HTML yang dibuka secara lokal untuk membuat permintaan lintas asal. Ini dapat dieksploitasi untuk serangan berbasis file lokal.
• Asal yang dicerminkan - Jika server secara dinamis menggemakan header permintaan Asal tanpa validasi, server dapat mengizinkan situs jahat mana pun untuk membuat permintaan yang diautentikasi. Selalu validasi asal yang tercermin dengan daftar putih.

Semua validasi header CORS dilakukan sepenuhnya di browser Anda menggunakan JavaScript. Header CORS yang Anda tempel tidak pernah dikirim ke server mana pun, tidak pernah disimpan di database mana pun, dan tidak pernah meninggalkan perangkat Anda. Hal ini memastikan privasi lengkap saat memeriksa header dari server mana pun, termasuk API internal.

Alat ini bekerja sepenuhnya offline setelah pemuatan halaman awal. Tidak ada data yang dicatat, tidak ada analitik yang melacak pertanyaan Anda, dan tidak ada server yang memproses masukan Anda. Pengujian keamanan Anda tetap bersifat pribadi.