CORS Checker — проверка CORS-политики сайта

Сервис отправляет OPTIONS preflight-запрос и GET-запрос с заголовком Origin: https://101ip.ru и анализирует CORS-заголовки в ответе сервера.

Основные CORS-заголовки

• Access-Control-Allow-Origin — домены, которым разрешён доступ (* — все);
• Access-Control-Allow-Methods — разрешённые HTTP-методы (GET, POST, PUT, DELETE…);
• Access-Control-Allow-Headers — разрешённые заголовки запроса;
• Access-Control-Allow-Credentials — разрешена ли передача куки и авторизации;
• Access-Control-Max-Age — время кеширования preflight-ответа (секунды);
• Access-Control-Expose-Headers — заголовки, доступные JS-коду на стороне клиента.

Важно: wildcard и credentials

Значение Access-Control-Allow-Origin: * запрещает использование Allow-Credentials: true. Браузер заблокирует такой ответ. Для авторизованных запросов необходимо указывать конкретный домен.

Для чего нужен CORS Checker

• Диагностика ошибок «CORS policy» в браузере;
• Проверка настроек публичного API или CDN;
• Аудит безопасности — wildcard может быть уязвимостью.