Curl im Browser - kein Postman, kein CORS
URL eintippen, GET / POST / PUT waehlen, Header und Body ergaenzen, klicken. Die Anfrage geht von unserem Server, also kein CORS-Block und kein Postman-Installieren noetig.
Du bekommst den Statuscode, Response-Header, Body (auto-formatiertes JSON / XML / HTML), Size (komprimiert + dekomprimiert), Set-Cookie plus den Timing-Breakdown: DNS / TTFB / Transfer.
Super fuer API-Debugging: Webhooks, OAuth, Drittanbieter-Endpoints, Pruefung von Cache- oder CORS-Headern, ohne den Browser zu verlassen.
So benutzt du es
- Methode waehlen (GET / POST / PUT / PATCH / DELETE / HEAD / OPTIONS) in der oberen Leiste.
- Die Ziel-URL einfuegen (muss mit https:// oder http:// beginnen).
- Im Tab Headers eigene Header ergaenzen (z. B. Accept: application/json, X-API-Key).
- Im Tab Body ein Format waehlen: JSON, form-data, x-www-form-urlencoded oder raw. Die Daten eintippen.
- Im Tab Auth Basic (User + Passwort) oder Bearer (Token) waehlen. Der Authorization-Header wird automatisch gebaut.
- Send druecken. Rechts siehst du Status, Header, Body, Timing und Cookies.
- Follow redirects nur einschalten, wenn du die ganze 3xx -> 200-Kette sehen willst. Jeder Redirect wird vor dem Folgen erneut auf SSRF geprueft.
Wann das nuetzlich ist
Ein HTTP-Request-Tester loest Alltagsprobleme im Frontend und Backend:
- API-Debugging. Antwortet der Endpoint ueberhaupt? Liefert er, was die Doku verspricht? Ein Schuss, volles Bild.
- CORS, das Browser-fetch nicht knackt. Dein fetch in DevTools wirft einen CORS-Fehler? Von unserem Server existiert CORS nicht, du siehst die echte Server-Response, nicht die Browser-Verpackung um den Fehler.
- Webhook-Empfaenger. POST an deinen eigenen Webhook, sieh, was ankommt und in welcher Form.
- OAuth / Bearer-Tokens. Pruefe, ob das Token gueltig ist, GET /me mit Authorization: Bearer ... und lies die Response.
- Basic Auth. Endpoints hinter Basic anpieksen (Admin-Panels, Legacy-APIs).
- Performance-Triage. TTFB zu hoch? Transfer laenger als erwartet? Du siehst es aufgeschluesselt.
- Redirect-Ketten. Macht die Domain 3 Hops vor der Seite? Die Hop-Liste zeigt jeden.
- Cache-Header-Checks. Cache-Control, ETag, Last-Modified, volle Response-Header-Liste.
- OPTIONS-Preflight. CORS-Preflight mit echtem Origin und Access-Control-Request-Method, damit du siehst, was dein Server genau zurueckgibt.
Verwandt: eingehende Webhooks im Webhook-Empfaenger abfangen, Antworten im Mock-API-Generator stubben oder Request-Typen direkt aus einer OpenAPI-Spec generieren.
Fragen und Antworten
Weil Browser Cross-Origin-Requests blockieren (CORS). Von unserem Server gilt CORS nicht, es ist ein normaler Fetch aus Node.js. Plus: manche Server liefern einem Browser andere Header als curl/Node (z. B. User-Agent-Gating), du siehst also die echte Response, nicht die hoefliche fuer Browser.