Constructeur d'en-têtes CORS

Créer des en-têtes de réponse CORS avec origine, méthodes, informations d'identification et plus

Qu'est-ce que c'est et comment ça marche ?

Le Cross-Origin Resource Sharing (CORS) est un mécanisme de sécurité du navigateur qui empêche les pages web d'effectuer des requêtes HTTP vers un domaine différent de celui qui a servi la page. Lorsque votre JavaScript sur `app.example.com` tente de récupérer des données de `api.example.com`, le navigateur envoie d'abord une requête OPTIONS de pré-vol.

Cet outil génère les en-têtes HTTP de réponse CORS corrects pour votre cas d'utilisation : développement (autoriser toutes les origines), production (autoriser uniquement des origines spécifiques), requêtes avec accréditations et configurations de pré-vol complexes.

Cas d'usage

• API Express.js : ajouter un middleware CORS pour permettre à votre frontend sur `https://app.mysite.com` d'appeler votre API sur `https://api.mysite.com` avec des accréditations.
• Configuration CORS Nginx : ajouter des directives `add_header` pour un serveur de fichiers statiques afin d'autoriser les requêtes d'origines spécifiques.
• Débogage des erreurs CORS : utiliser les en-têtes générés pour comprendre exactement ce que le navigateur attend.

Questions fréquentes

Pourquoi le navigateur envoie-t-il une requête OPTIONS de pré-vol ?

Pour les requêtes "non simples" (utilisant des méthodes autres que GET/POST ou des en-têtes personnalisés), les navigateurs envoient d'abord une requête OPTIONS. En cas de succès, le navigateur procède à la requête réelle.

Puis-je utiliser `Access-Control-Allow-Origin: *` avec des accréditations ?

Non. Vous ne pouvez pas combiner `Access-Control-Allow-Origin: *` avec `Access-Control-Allow-Credentials: true`. Pour les requêtes avec accréditations, vous devez spécifier l'origine exacte.

Quelle est la différence entre les erreurs CORS et les erreurs réseau ?

Une erreur CORS signifie : la requête a atteint le serveur, mais le navigateur a bloqué JavaScript pour la lecture de la réponse. Une erreur réseau signifie : la requête n'a jamais atteint le serveur.

Comment corriger CORS pour plusieurs origines autorisées ?

L'en-tête `Access-Control-Allow-Origin` ne peut contenir qu'une seule valeur d'origine ou `*`. Pour plusieurs origines, utilisez une logique côté serveur pour vérifier l'en-tête `Origin` de la requête.

Développeur

Générateur UUID · Convertisseur de timestamp · Encodeur Base64 · Décodeur Base64 · Générateur de hash · Convertisseur de couleurs