Что делать, если CORS Checker показывает «No CORS headers»?

Это означает, что сервер не возвращает заголовки Access-Control-Allow-Origin и другие CORS-заголовки. Для исправления необходимо настроить серверное ПО (Nginx, Apache, IIS или код приложения) на добавление соответствующих заголовков. Например, в Nginx можно добавить директиву add_header Access-Control-Allow-Origin *;. После изменения конфигурации повторите проверку на 101ip.ru, чтобы убедиться, что заголовки появились.

Почему CORS Checker показывает ошибку preflight-запроса?

Preflight-запрос (OPTIONS) используется браузером для проверки разрешённых методов и заголовков перед основным запросом. Если сервер не отвечает на OPTIONS-запрос или возвращает ошибку (например, 403 или 500), CORS Checker сообщит об этом. Решение — убедиться, что сервер обрабатывает OPTIONS-запросы и возвращает правильные заголовки Access-Control-Allow-Methods и Access-Control-Allow-Headers. Часто проблема возникает, если сервер не настроен на приём запросов с методом OPTIONS.

Как проверить, поддерживает ли сайт отправку кук через CORS?

Для этого посмотрите в результатах CORS Checker значение заголовка Access-Control-Allow-Credentials. Если он равен true, сервер поддерживает отправку кук и авторизационных данных. Обратите внимание: при этом Access-Control-Allow-Origin не может быть звёздочкой (*) — должен быть указан конкретный origin. Если заголовок отсутствует или равен false, куки передаваться не будут. Для включения этой возможности настройте сервер соответствующим образом.

CORS Checker — проверка CORS-заголовков сайта онлайн

Бесплатная онлайн проверка CORS-политики сайта — CORS Checker

Современные веб-приложения всё чаще используют CORS (Cross-Origin Resource Sharing) — механизм, который позволяет контролировать доступ к ресурсам с других доменов. Если ваш сайт обращается к API, загружает шрифты, скрипты или изображения с внешнего источника, неверная настройка CORS может привести к блокировке запросов и ошибкам в консоли браузера. Наш CORS Checker — это бесплатная онлайн проверка CORS-политики, которая позволяет быстро проанализировать заголовки Access-Control-Allow-Origin, разрешённые методы, заголовки и preflight-ответ вашего сервера. Инструмент работает на 101ip.ru и не требует установки — просто введите URL и получите полный отчёт.

Как проверить CORS-заголовки сайта онлайн с помощью CORS Checker

Проверка CORS (Cross-Origin Resource Sharing) — это процесс анализа HTTP-ответов сервера на кросс-доменные запросы. Чтобы начать, откройте страницу проверки CORS-политики и введите адрес интересующего вас сайта в поле ввода. Нажмите кнопку «Проверить» — сервис выполнит несколько тестовых запросов, включая preflight-запрос (OPTIONS) и основные GET/POST-запросы. В результатах вы увидите:

Access-Control-Allow-Origin — какие домены имеют доступ к ресурсу (например, * или конкретный URL);
Access-Control-Allow-Methods — список разрешённых HTTP-методов (GET, POST, PUT, DELETE и т.д.);
Access-Control-Allow-Headers — разрешённые заголовки запроса (Content-Type, Authorization и пр.);
Access-Control-Max-Age — время кэширования preflight-ответа в секундах;
Access-Control-Allow-Credentials — поддерживает ли сервер отправку кук и авторизационных данных.

Инструмент также показывает статус-код ответа (200, 403, 500 и т.д.) и полные заголовки, чтобы вы могли быстро выявить проблему. Если сервер не возвращает необходимые CORS-заголовки, в отчёте появится соответствующее предупреждение.

Почему важно использовать CORS Checker для тестирования CORS-политики

Ошибки CORS — одна из самых частых проблем при интеграции сторонних API, загрузке шрифтов через CDN или создании SPA-приложений (React, Vue, Angular). Без корректной политики Access-Control-Allow-Origin браузер блокирует запросы, показывая в консоли «No 'Access-Control-Allow-Origin' header is present on the requested resource». Это может парализовать работу интернет-магазина, личного кабинета или любого сервиса, использующего кросс-доменные вызовы.

Наш CORS Checker помогает разработчикам, системным администраторам и SEO-специалистам:

Быстро диагностировать причину блокировки запросов;
Проверить, правильно ли настроен сервер для работы с вашим доменом;
Убедиться, что preflight-запрос (OPTIONS) обрабатывается корректно;
Избежать уязвимостей — например, открытый доступ * для ресурсов, содержащих конфиденциальные данные.

Регулярная проверка CORS-политики особенно важна после обновления серверного ПО, смены хостинга или подключения нового внешнего API. Тестирование занимает всего несколько секунд и не требует глубоких технических знаний.

Примеры использования CORS Checker от 101ip

Рассмотрим несколько типовых сценариев, когда проверка CORS-заголовков онлайн может быть полезна:

1. Разработка фронтенда. Вы создаёте одностраничное приложение на JavaScript, которое обращается к серверу на другом домене. Если сервер не настроен на CORS, браузер отклонит запрос. CORS Checker покажет, какие заголовки отсутствуют, и вы сможете оперативно исправить конфигурацию сервера.

2. Настройка CDN или внешнего хранилища. При загрузке шрифтов, изображений или скриптов с Amazon S3, Cloudflare R2 или другого облачного сервиса требуется установить CORS-правила. Проверка поможет убедиться, что конфигурация bucket разрешает доступ с вашего домена.

3. Аудит безопасности. Открытая CORS-политика ( Access-Control-Allow-Origin: * ) может быть рискованной для API с персональными данными. Инструмент подсветит, если ваш сайт разрешает доступ всем доменам, и вы сможете сузить список разрешённых источников.

4. Интеграция сторонних сервисов. Подключая виджеты (чат, платёжную форму, аналитику) с других доменов, важно, чтобы они корректно работали в вашем интерфейсе. CORS Checker даёт понимание, поддерживает ли сервер нужные заголовки.

Как интерпретировать результаты проверки CORS-политики

После выполнения теста на странице проверки CORS-политики вы увидите детальную таблицу с заголовками ответа. Рассмотрим основные значения:

Access-Control-Allow-Origin: * — доступ разрешён всем доменам. Используйте с осторожностью, не для конфиденциальных данных.
Access-Control-Allow-Origin: https://example.com — доступ только для указанного домена (соответствие строгому origin).
Access-Control-Allow-Methods: GET, POST, PUT — список методов, которые разрешены для кросс-доменных запросов.
Access-Control-Allow-Headers: Content-Type, Authorization — заголовки, которые клиент может передавать в запросе.
Access-Control-Allow-Credentials: true — сервер разрешает отправку кук и HTTP-аутентификацию. Важно: при включённом флаге Access-Control-Allow-Origin не может быть *.
Access-Control-Max-Age: 86400 — время (в секундах), на которое браузер может кэшировать preflight-ответ, чтобы не делать повторных OPTIONS-запросов.

Если сервер не возвращает ни одного CORS-заголовка, инструмент отобразит сообщение «CORS headers not detected» — это значит, что ресурс не настроен для кросс-доменного доступа, и браузер заблокирует запросы.

Часто задаваемые вопросы

Что делать, если CORS Checker показывает «No CORS headers»?

Это означает, что сервер не возвращает заголовки Access-Control-Allow-Origin и другие CORS-заголовки. Для исправления необходимо настроить серверное ПО (Nginx, Apache, IIS или код приложения) на добавление соответствующих заголовков. Например, в Nginx можно добавить директиву add_header Access-Control-Allow-Origin *;. После изменения конфигурации повторите проверку на 101ip.ru, чтобы убедиться, что заголовки появились.
Почему CORS Checker показывает ошибку preflight-запроса?

Preflight-запрос (OPTIONS) используется браузером для проверки разрешённых методов и заголовков перед основным запросом. Если сервер не отвечает на OPTIONS-запрос или возвращает ошибку (например, 403 или 500), CORS Checker сообщит об этом. Решение — убедиться, что сервер обрабатывает OPTIONS-запросы и возвращает правильные заголовки Access-Control-Allow-Methods и Access-Control-Allow-Headers. Часто проблема возникает, если сервер не настроен на приём запросов с методом OPTIONS.
Как проверить, поддерживает ли сайт отправку кук через CORS?

Для этого посмотрите в результатах CORS Checker значение заголовка Access-Control-Allow-Credentials. Если он равен true, сервер поддерживает отправку кук и авторизационных данных. Обратите внимание: при этом Access-Control-Allow-Origin не может быть звёздочкой (*) — должен быть указан конкретный origin. Если заголовок отсутствует или равен false, куки передаваться не будут. Для включения этой возможности настройте сервер соответствующим образом.

Смотрите также

Для более глубокого анализа безопасности и производительности вашего сайта мы рекомендуем другие бесплатные инструменты 101ip.ru: