CORS Access-Control-Allow-Methods Values

Checker ID: #16

v0.1.1

CORS Access-Control-Allow-Methods Values

Importância

Restringir os métodos HTTP aceitos pelo servidor reduz a superfície de ataque, garantindo o "Princípio do Menor Privilégio". Permitir métodos desnecessários em endpoints que deveriam apenas fornecer dados pode facilitar a manipulação indevida de recursos caso outras camadas de autenticação falhem.

Descrição Técnica

Analisa a resposta HTTP retornada pelo servidor do website sob teste para confirmar se o cabeçalho Access-Control-Allow-Methods está presente e configurado de forma segura

Cenários de Teste

Cenário Aprovado: O cabeçalho Access-Control-Allow-Methods está presente e possui apenas os valores GET, HEAD, OPTIONS e POST

HTTP/1.1 200 OK
Date: Wed, 17 Dec 2025 11:45:00 GMT
Server: nginx/1.18.0
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Strict-Transport-Security: max-age=31536000
Access-Control-Allow-Methods: GET, HEAD, OPTIONS, POST
Last-Modified: Mon, 01 Dec 2025 10:00:00 GMT
ETag: "5f8c-60d4-1a2b"
Cache-Control: max-age=3600
Content-Length: 1540

Cenário Reprovado: O cabeçalho Access-Control-Allow-Methods está ausente

HTTP/1.1 200 OK
Date: Wed, 17 Dec 2025 11:45:00 GMT
Server: nginx/1.18.0
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Strict-Transport-Security: max-age=31536000
Last-Modified: Mon, 01 Dec 2025 10:00:00 GMT
ETag: "5f8c-60d4-1a2b"
Cache-Control: max-age=3600
Content-Length: 1540

Cenário Reprovado: O cabeçalho Access-Control-Allow-Methods está presente mas possui alguns valores inesperados

HTTP/1.1 200 OK
Date: Wed, 17 Dec 2025 11:45:00 GMT
Server: nginx/1.18.0
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Strict-Transport-Security: max-age=31536000
Access-Control-Allow-Methods: GET, HEAD, OPTIONS, POST, DELETE
Last-Modified: Mon, 01 Dec 2025 10:00:00 GMT
ETag: "5f8c-60d4-1a2b"
Cache-Control: max-age=3600
Content-Length: 1540

Cenário Reprovado: O cabeçalho Access-Control-Allow-Methods está presente mas não possui todos os valores esperados

HTTP/1.1 200 OK
Date: Wed, 17 Dec 2025 11:45:00 GMT
Server: nginx/1.18.0
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Strict-Transport-Security: max-age=31536000
Access-Control-Allow-Methods: GET, OPTIONS, POST
Last-Modified: Mon, 01 Dec 2025 10:00:00 GMT
ETag: "5f8c-60d4-1a2b"
Cache-Control: max-age=3600
Content-Length: 1540