Предполетный тестер CORS

• Настоящее тестирование предпечатных запросов CORS: отправляйте фактические запросы OPTIONS на любой URL-адрес с настраиваемым источником, методом и заголовками. Тестер CORS Preflight Tester использует API выборки браузера для имитации реальных предполетных запросов — точно так же, как браузер отправляет запросы перед выполнением запроса между источниками. Результаты включают полные заголовки ответов от сервера, показывающие, какая именно политика CORS действует.
• Комплексный анализ заголовков CORS: инструмент автоматически анализирует 6 ключевых заголовков ответов Access-Control-*: Allow-Origin (проверяет соответствие источника), Allow-Methods (проверяет метод HTTP), Allow-Headers (проверяет пользовательские заголовки), Allow-Credentials (проверяет поддержку файлов cookie/аутентификации), Max-Age (длительность предварительного кэширования) и Expose-Headers (заголовки, читаемые клиентом). Каждая проверка показывает «пройдено/не пройдено» с подробными пояснениями.
• Режим прокси для тестирования перекрестного происхождения: включите параметр прокси-сервера CORS, чтобы обойти ограничения браузера на одно и то же происхождение. Если этот параметр включен, инструмент маршрутизирует запрос OPTIONS через общедоступный прокси-сервер CORS, позволяя вам видеть фактические заголовки ответов CORS сервера, даже если сервер не разрешает ваш источник. Это неоценимо для отладки проблем с конфигурацией CORS.
• Бесплатно и без регистрации: тестируйте предварительные запросы CORS на неограниченном количестве URL-адресов без регистрации, ключа API и ограничений на использование. Все запросы передаются напрямую из вашего браузера на целевой сервер (или через бесплатный общедоступный прокси). Мы не храним, не регистрируем и не обрабатываем какие-либо тестовые данные на наших серверах. Совершенно бесплатно, навсегда.

• Отладка интеграции API. Разработчики внешнего интерфейса, тестирующие интеграцию API, используют предварительный тестер CORS для диагностики ошибок CORS. Когда в консоли браузера отображается «Политика CORS: нет заголовка Access-Control-Allow-Origin», используйте тестер для отправки предварительного запроса и посмотрите, какие именно заголовки CORS возвращает сервер, а какие отсутствуют.
• Конфигурация предварительного запроса. Разработчики серверной части, настраивающие CORS в своих API, могут использовать тестер для проверки настройки CORS своего сервера. Перед развертыванием в рабочей среде протестируйте различные источники, методы HTTP и пользовательские комбинации заголовков, чтобы убедиться, что сервер отвечает правильными заголовками Access-Control-*.
• Проверка совместимости стороннего API. Прежде чем интегрировать сторонний API в свое веб-приложение, используйте предварительный тестер CORS, чтобы убедиться, что API поддерживает запросы между источниками из вашего домена. Проверьте, поддерживает ли API ваши HTTP-методы, пользовательские заголовки и можно ли включать учетные данные (файлы cookie) в запросы.
• Аудит политики микросервисов CORS. Организациям с несколькими микросервисами необходимы согласованные политики CORS для всех конечных точек. Используйте предварительный тестер CORS для аудита каждой конечной точки службы, гарантируя, что все они соответствуют одной и той же конфигурации CORS. Анализ «прошел/не прошел», проводимый этим инструментом, позволяет легко обнаружить неправильно настроенные сервисы.
• Конфигурация платформы SaaS. Платформы SaaS, предлагающие встраиваемые виджеты, SDK JavaScript или интеграцию iframe, полагаются на правильную конфигурацию CORS. Используйте предварительный тестер CORS для проверки заголовков CORS для доменов клиентов, пользовательских поддоменов и нескольких сред развертывания.
• Устранение ошибок CORS. Когда пользователи сообщают об ошибках, связанных с CORS, в рабочей среде, предварительный тестер CORS помогает быстро определить, является ли проблема проблемой конфигурации сервера, ограничением браузера или несоответствием заголовка на стороне клиента. Подробный анализ заголовка точно определяет, какая проверка CORS не удалась.

Предварительный запрос CORS — это запрос HTTP OPTIONS, который браузер автоматически отправляет перед выполнением определенных запросов между источниками. Он запрашивает у сервера разрешение на отправку фактического запроса, проверяя, какие источники, методы и заголовки разрешены. Предварительная проверка запускается, когда запрос использует сложный метод (любой, кроме GET, HEAD или POST со стандартными типами контента), включает пользовательские заголовки или использует учетные данные (файлы cookie или заголовки авторизации).

1. Браузер проверяет, нужна ли предварительная проверка: если запрос «непростой» (другой метод HTTP, пользовательские заголовки или учетные данные), браузер отправляет предварительный запрос перед фактическим запросом.
2. Отправляется запрос OPTIONS: браузер отправляет запрос HTTP OPTIONS на целевой URL-адрес с тремя специальными заголовками: Origin (запрашивающий источник), Access-Control-Request-Method (предполагаемый метод HTTP) и Access-Control-Request-Headers (любые предназначенные пользовательские заголовки).
3. Сервер отвечает политикой CORS. Сервер должен ответить соответствующими заголовками Access-Control-*, указывающими его политику CORS. Браузер сверяет эти заголовки со свойствами фактического запроса.
4. Браузер решает: если ответ сервера разрешает запрос (соответствует источнику, методу и заголовкам), браузер продолжает выполнение фактического запроса. В противном случае браузер блокирует запрос и выдает в консоли ошибку CORS.

• Access-Control-Allow-Origin: указывает, какие источники разрешены. Может быть конкретным источником (например, https://my-app.com) или * (любым источником, но без учетных данных).
• Access-Control-Allow-Methods: список методов HTTP, разрешенных для запросов между источниками (например, GET, POST, PUT, DELETE).
• Access-Control-Allow-Headers: список настраиваемых заголовков, которые можно включать в запросы между источниками (например, Content-Type, Authorization).
• Access-Control-Allow-Credentials: если установлено значение true , файлы cookie, заголовки авторизации и клиентские сертификаты TLS могут включаться в запросы между источниками.
• Access-Control-Max-Age: указывает, как долго (в секундах) браузер может кэшировать предварительный ответ, что уменьшает количество предполетных запросов.
• Access-Control-Expose-Headers: контролирует, к каким заголовкам ответов клиентскому коду JavaScript разрешен доступ.

Тестирование CORS на основе браузера имеет присущие ограничения: если сервер не разрешает ваш источник, браузер блокирует ответ, и JavaScript не может прочитать заголовки CORS. Наш инструмент решает эту проблему, предлагая режим прокси, который маршрутизирует запрос через общедоступный прокси-сервер CORS, позволяя вам видеть фактические заголовки ответов сервера независимо от политики CORS сервера. Однако режим прокси имеет свое собственное поведение — прокси добавляет свои собственные заголовки CORS. Для получения наиболее точных результатов тестируйте как с прокси-сервером, так и без него. Для отладки в рабочей среде всегда проверяйте конфигурацию CORS с помощью серверных инструментов, таких как Curl.