Générateur d'En-têtes CORS

La spécification CORS interdit explicitement de combiner Access-Control-Allow-Origin: * avec Access-Control-Allow-Credentials: true. Lorsque des credentials (cookies, en-têtes Authorization) sont impliqués, le serveur doit renvoyer exactement l'origin de la requête, pas un wildcard. Cela empêche n'importe quel site d'utiliser les credentials d'un utilisateur connecté pour faire des appels API authentifiés.

Une requête preflight OPTIONS est envoyée avant toute requête non simple. Les requêtes simples utilisent GET ou POST avec uniquement des en-têtes standard. Les requêtes non simples comprennent : les méthodes PUT, DELETE, PATCH ; les en-têtes personnalisés (comme Authorization, X-API-Key) ; le Content-Type application/json. Votre serveur doit répondre aux requêtes OPTIONS avec les en-têtes Allow-* appropriés.

Max-Age indique au navigateur combien de temps (en secondes) mettre en cache la réponse preflight. Une valeur courante est 86400 (24 heures). Cela réduit les allers-retours preflight en production. Réglez-le sur 0 pendant le développement pour éviter les problèmes de cache.

Par défaut, JavaScript ne peut lire qu'un ensemble limité d'en-têtes de réponse « sûrs ». Si votre API retourne des en-têtes personnalisés comme X-Total-Count ou X-Request-Id, vous devez les lister dans Access-Control-Expose-Headers. Sans cela, JavaScript verra ces en-têtes comme undefined même s'ils existent dans la réponse HTTP.

Sélectionnez « Origines Spécifiques » et ajoutez chaque origin de confiance (ex. https://app.example.com). La spécification CORS ne prend pas en charge plusieurs valeurs dans un seul en-tête. Pour plusieurs origins, votre serveur doit vérifier dynamiquement l'en-tête Origin de la requête par rapport à une liste blanche et renvoyer celui qui correspond. Les configurations Nginx/Apache/Node.js générées incluent cette logique.

En-têtes HTTP (valeurs brutes), Nginx (directives add_header), Apache (.htaccess avec directives Header set), Node.js/Express (middleware utilisant le package cors ou des appels manuels res.setHeader) et PHP (appels à la fonction header()). Changez d'onglet pour voir chaque format.

Non. Tout fonctionne dans votre navigateur. Rien n'est envoyé à un serveur ni stocké nulle part.