Probador de Peticiones HTTP y conversor de curl

Acerca de Probador de Peticiones HTTP y conversor de curl

Esta página tiene tres modos. El probador de peticiones envía la petición de verdad y muestra la respuesta. El constructor de peticiones te deja rellenar parámetros de consulta, cabeceras y cuerpo en tablas y genera un comando curl, sin enviar nada. El conversor de curl traduce un comando curl a JavaScript fetch, Python requests, Node.js axios o PHP cURL.

Por defecto el probador envía la petición directamente desde tu navegador con fetch. Por eso una API que devuelve 200 con curl en la terminal falla aquí con tanta frecuencia. A continuación se explica el motivo, qué cambia el navegador en tu petición y qué opciones tienes cuando el envío directo queda bloqueado.

Por qué curl funciona y el navegador no

Un navegador no entrega a un script la respuesta de un servidor de otro origen (esquema, host y puerto) salvo que ese servidor lo autorice con la cabecera Access-Control-Allow-Origin. Eso es CORS. curl no tiene página ni origen, así que la regla no le afecta. La mayoría de las APIs de pagos, mapas o datos públicos están pensadas para llamadas de servidor a servidor y sencillamente no envían esa cabecera.

Si la petición no es 'simple', el navegador envía antes una preflight: una petición OPTIONS que pide permiso. Poner Content-Type: application/json, añadir una cabecera Authorization o usar PUT o DELETE la activan. Si el servidor no responde al OPTIONS con Access-Control-Allow-Methods y Access-Control-Allow-Headers adecuados, la petición real no llega a salir. Es la explicación habitual cuando un GET a una API funciona y un POST con JSON a la misma API falla.

Para la página, un bloqueo CORS es indistinguible de un fallo de DNS o una conexión rechazada: ambos llegan como un TypeError, 'Failed to fetch'. Los navegadores ocultan la diferencia a propósito, así que la herramienta los etiqueta como 'CORS o red' en lugar de adivinar. La causa real aparece en la consola de las herramientas de desarrollo. Solo dos casos se distinguen con seguridad: una URL http://, bloqueada como contenido mixto porque esta página es https, y una petición que cancelaste tú.

Qué cambia el navegador al enviar directamente

• Las cabeceras prohibidas, como Cookie, Host, Origin, Referer, Content-Length o Connection, no pueden fijarse desde un script y se descartan sin aviso. La herramienta las nombra en cuanto las escribes, y avisa también de User-Agent.
• No se envían cookies. fetch se llama con credentials: 'omit', así que aunque tengas sesión iniciada en el sitio de destino, tu sesión no viaja con la petición.
• Solo se pueden leer las cabeceras de respuesta de la lista segura de CORS: Cache-Control, Content-Language, Content-Length, Content-Type, Expires, Last-Modified y Pragma. Otras, como X-RateLimit-Remaining, quedan ocultas salvo que el servidor las incluya en Access-Control-Expose-Headers.
• Con 'Seguir redirecciones' desactivado, el navegador devuelve un 3xx como redirección opaca, sin estado ni Location legibles. Para inspeccionar una redirección, usa el relé.

Enviar a través del relé

Si el envío directo falla, 'Enviar a través de nuestro servidor' reenvía la petición mediante el relé del sitio. De servidor a servidor no hay CORS, y las cabeceras que el navegador descartaría pasan intactas. A cambio, la URL, las cabeceras y el cuerpo completos pasan por un tercero, así que antes de enviar la herramienta enumera los nombres de todo lo que parezca una credencial, como Authorization o api_key, y pide confirmación. Mejor una clave de pruebas que una de producción.

Límites: cuerpo de petición de 512 KB, respuesta de 2 MB (se trunca a partir de ahí), 20 segundos de espera y 20 peticiones por minuto e IP. localhost, los rangos privados como 10.x o 192.168.x y las direcciones de metadatos de la nube se rechazan, así que un servidor de desarrollo interno solo se puede probar con envío directo. El destino ve la IP del relé, no la tuya, algo relevante si la API tiene una lista de IPs permitidas.

Cómo se traducen las opciones de curl

Pega la salida de 'Copy as cURL' de las herramientas del navegador y el probador rellenará la petición con estas reglas.

• -d, --data-raw y --data-binary pasan a ser el cuerpo. Sin -X el método es POST y, sin Content-Type, se añade application/x-www-form-urlencoded, igual que hace curl. Varios -d se unen con &. Un valor que empieza por @, como -d @archivo, hace que curl lea ese archivo; la herramienta no puede leer archivos, así que conserva el texto literal y muestra un aviso. Los comandos curl que genera la herramienta pasan el cuerpo con --data-raw para evitarlo.
• --json fija el cuerpo y añade Content-Type y Accept: application/json.
• -G mueve los datos de -d a la cadena de consulta y envía un GET. Los valores de --data-urlencode se codifican con porcentajes.
• -u usuario:clave se convierte en una cabecera Authorization: Basic, salvo que también haya una Authorization con -H: entonces, como en curl, gana el valor de -H y -u se descarta con un aviso. -I significa HEAD, -b se convierte en Cookie, -A en User-Agent y -e en Referer.
• -F (subida multipart), -T, --proxy y las opciones de certificados no se pueden trasladar y generan un aviso. -k se ignora porque ni el navegador ni el relé pueden saltarse la validación de certificados. Opciones de salida como -L, -s o --compressed se descartan en silencio.

Constructor de peticiones y conversor de curl

El constructor añade solo las filas de consulta marcadas, cada una codificada con encodeURIComponent, y si el cuerpo es JSON lo valida primero con JSON.parse y no genera el comando si es inválido. Si eliges JSON o formulario y dejas vacío Content-Type, se añade el valor correcto. El comando resultante pasa el cuerpo con --data-raw en vez de -d, porque -d interpreta un valor que empieza por @ como nombre de archivo.

El conversor escribe el mismo comando en cuatro lenguajes, cada uno con su estilo. -u se convierte en una cabecera Basic en fetch y axios, en auth=("user", "pass") en requests y en CURLOPT_USERPWD en PHP. -k da verify=False en Python, pero en el fetch del navegador no existe equivalente: una página no puede desactivar la validación de certificados.

Ejemplos

Cómo se usa

1. Escribe el método y la URL, o pega un comando curl y pulsa Cargar.
2. Rellena las pestañas de cabeceras y cuerpo y pulsa Enviar.
3. Si CORS lo bloquea, lee la explicación y usa el relé solo cuando lo necesites.
4. Para obtener código, copia el comando del constructor o de la pestaña del conversor.

Preguntas frecuentes