Kostenlos · ohne Anmeldung
CORS-Header und Preflight-Freigaben prüfen
Prüfen Sie die CORS-Freigaben einer öffentlichen URL für einen bestimmten Origin. Das Tool vergleicht Antwortheader und Preflight-Angaben und erklärt fehlende oder widersprüchliche Freigaben.
Prüfung starten
Ihr Ergebnis
CORS gilt für einen konkreten Origin
Browser begrenzen das Lesen von Antworten zwischen unterschiedlichen Origins. Ein Origin besteht aus Protokoll, Host und gegebenenfalls Port. https://app.example.org ist deshalb etwas anderes als http://app.example.org. Geben Sie den Origin Ihrer aufrufenden Anwendung ein, nicht die komplette URL einer Unterseite. Das Tool sendet diesen Wert als Origin-Header.
Was der Test tatsächlich sendet
Für die Diagnose werden eine GET-Anfrage und ein OPTIONS-Preflight ohne Cookies oder Zugangsdaten gesendet. Eine ausgewählte Methode wie PUT wird ausschließlich im Access-Control-Request-Method-Header angekündigt und nicht ausgeführt. Die GET-Antwort kann daher die tatsächlichen Antwortheader eines späteren POST- oder PUT-Aufrufs nicht bestätigen. Weiterleitungen werden nicht verfolgt und müssen separat betrachtet werden.
Wildcards und Credentials richtig behandeln
Ohne Zugangsdaten kann Access-Control-Allow-Origin: * ausreichen. Bei credentialed Requests braucht es einen passenden konkreten Origin und Access-Control-Allow-Credentials: true. Auch Wildcards für Methoden oder Header haben dann eine andere Bedeutung. Authorization muss ausdrücklich freigegeben werden. Ein dynamisch zurückgegebener Origin sollte bei gemeinsamem Caching durch Vary: Origin berücksichtigt werden.
Eine Freigabe ist keine Sicherheitsbewertung
CORS ersetzt weder Authentifizierung noch CSRF-Schutz. Eine sehr breite Freigabe ist nicht automatisch korrekt für Ihr Produkt, selbst wenn der Browser den Zugriff damit erlaubt. Der Checker bewertet die eingegebene Kombination und sendet keine geheimen Headerwerte. Prüfen Sie abschließend im Browser Ihrer Anwendung, ob Authentifizierung, Redirects und tatsächliche Methode zusammen funktionieren. Grundlagen erläutert MDN zu CORS.
Beispiel zur Einordnung
Origin * plus Allow-Credentials: true reicht für einen Aufruf mit Cookies nicht aus. Der Checker markiert die Origin-Freigabe für diesen gewählten Fall als Fehler.
Häufige Fragen
Wird ein ausgewähltes DELETE oder PUT ausgeführt?
Nein. Gesendet werden nur GET und OPTIONS. Die gewählte Methode wird ausschließlich im Preflight-Header genannt.
Überträgt das Tool Cookies oder Tokens?
Nein. Es nimmt nur Headernamen entgegen und sendet keine Zugangsdaten an die Zielseite.
Warum kann ein GET funktionieren, der Browseraufruf aber scheitern?
CORS wird vom Browser für eine konkrete Kombination aus Origin, Methode, Headern und Credentials bewertet. Ein erfolgreicher HTTP-Abruf allein genügt nicht.
Seitenreport SEO Suite: Ihre Website als Ganzes prüfen
Prüfen Sie bis zu 20 URLs kostenlos. Für wiederkehrende Kontrollen und Veränderungen Ihrer Website lernen Sie die SEO Suite kennen.