Probador de peticiones CORS
Envía una petición cross-origin real desde tu navegador a cualquier API para ver si CORS la permite. Explica cuándo hace falta preflight y muestra las cabeceras legibles.
¿Qué es Probador de CORS?
Este probador de CORS envía una petición cross-origin auténtica desde tu navegador, con el método, el Content-Type, la cabecera personalizada y el modo de credenciales que elijas, e indica si el navegador permite que JavaScript lea la respuesta. Antes de enviarla, explica si la petición es «simple» o necesita un preflight OPTIONS y por qué.
Cómo usar Probador de CORS
- Introduce la URL de la API que quieres probar.
- Elige el método, un Content-Type opcional y una cabecera personalizada opcional como
Authorization: Bearer x. - Marca «Enviar cookies / credenciales» si tu aplicación usa credentials: include.
- Lee la explicación del preflight y pulsa Enviar petición de prueba.
- Si se permite, revisa el estado y las cabeceras que puede ver JavaScript; si se bloquea, mira en la consola del navegador el error CORS exacto.
Cuándo usar Probador de CORS
Úsalo para comprobar si una API pública se puede llamar desde una aplicación en el navegador o para reproducir un error CORS con cabeceras concretas. El origen es siempre https://algokit.dev, así que un servidor que solo permite tu propio dominio aparecerá, con razón, como bloqueado; prueba desde tu propio sitio para una coincidencia exacta. No puede distinguir los fallos de CORS de los errores de red o TLS, porque el navegador no lo revela.
Cómo funciona Probador de CORS
La herramienta llama a fetch() con mode: "cors" desde el origen de la página (https://algokit.dev), exactamente como lo haría tu propio código front-end. La explicación del preflight sigue el estándar Fetch: los métodos distintos de GET/HEAD/POST, un Content-Type distinto de form-urlencoded, multipart/form-data o text/plain, o cualquier cabecera personalizada provocan un preflight OPTIONS. Cuando el navegador bloquea una respuesta, lanza un TypeError genérico y oculta deliberadamente el motivo, por eso la herramienta te indica que mires la consola.
Casos de Uso Comunes
- Comprobar si una API de terceros envía Access-Control-Allow-Origin antes de integrarla en una SPA.
- Averiguar qué cabecera de tu petición provoca un preflight.
- Verificar que credentials: include funciona (requiere un origen concreto, no *).
- Ver qué cabeceras de respuesta se exponen a JavaScript mediante Access-Control-Expose-Headers.
Nota de Seguridad
La petición va directamente desde tu navegador a la URL que introduces; con las credenciales activadas, también se envían tus cookies de ese sitio.
Preguntas Frecuentes
¿Por qué funciona con curl pero falla en el navegador?
CORS solo lo aplican los navegadores. curl y los servidores lo ignoran, así que una API puede funcionar desde curl y seguir siendo ilegible desde una página web.
¿Qué provoca un preflight?
Un método distinto de GET, HEAD o POST, un Content-Type no simple como application/json o cualquier cabecera de petición personalizada como Authorization.
¿Se puede usar Access-Control-Allow-Origin: * con cookies?
No. Con credenciales, el servidor debe devolver el origen exacto y enviar Access-Control-Allow-Credentials: true.