01
Choisir une origine autorisée
L’exemple remplit une adresse publique sans l’appeler. Une page HTTPS peut aussi bloquer une cible HTTP pour contenu mixte; le serveur doit permettre la lecture depuis cette origine.
HTTP et débogage des requêtes
testeur de requêtes HTTPenvoi sous votre contrôle
Préparez méthode, URL, en-têtes et corps avant de lancer une seule requête. La cible doit autoriser la lecture CORS.
testeur de requêtes HTTP
Requête
En-têtes de requête
Corps de requête
Cette méthode n’envoie pas de corps.
La requête part directement du navigateur vers la cible seulement après votre clic. Évitez les secrets de production.
Réponse
Aucune réponse pour le moment.
Options
Désactivé au départ. Dans cet onglet : méthode, chemin URL sans valeurs de requête, heure et statut; aucun en-tête ni corps. Les chemins URL peuvent révéler des identifiants; laissez l’historique désactivé pour ces cas.
Limites : 50 en-têtes, corps texte de 1 Mio, réponse lisible de 8 Mio. CORS et en-têtes interdits s’appliquent.
Code de requête
L’aperçu ne transmet rien. Valeurs de requête et en-têtes sensibles sont remplacés; vérifiez aussi le corps avant partage.
Saisissez une URL HTTP(S) et envoyez volontairement.
Pour vérifier une API, un exemple de réponse dans la documentation ne suffit pas toujours. Ce testeur de requêtes HTTP compose une requête réelle dans le navigateur, mais ne transmet rien pendant la saisie. Choisissez une cible de test avant de cliquer sur Envoyer.
Un client HTTP en ligne soumis à CORS ne remplace pas un terminal. Pour tester une API REST qui refuse votre origine, le navigateur peut cacher la réponse; une erreur visible ne prouve pas que le serveur n’a rien reçu.
Pourquoi ce testeur de requêtes HTTP ?
Une requête explicite et une réponse affichée seulement si elle est lisible.
Accès direct sans relais du site
Le testeur de requêtes HTTP utilise Fetch vers la cible après votre clic. Quand CORS autorise la lecture, il présente statut, en-têtes exposés et corps réels; sinon il ne fabrique aucune réponse.
Historique sans en-têtes ni corps
L’historique est désactivé au départ. S’il est activé, cet onglet conserve seulement méthode, chemin URL sans valeurs de requête, date et statut. Les extraits de code remplacent aussi les en-têtes sensibles et valeurs de requête.
Préparer l’envoi et interpréter la réponse
02
Vérifier le corps et le délai
POST, PUT, PATCH et DELETE acceptent texte brut ou JSON. Le mode JSON vérifie la syntaxe et ajoute Content-Type uniquement s’il manque. Ctrl/Cmd+Entrée déclenche aussi un envoi volontaire.
03
Distinguer statut et échec réseau
Une réponse 4xx ou 5xx peut être lisible. Un échec CORS ou réseau n’expose pas de statut. Modifier le brouillon désactive l’export de l’ancienne réponse; Annuler ne retire pas une action déjà exécutée.
Construire et conserver une requête unique
Sept méthodes HTTP
GET, POST, PUT, PATCH, DELETE, HEAD et OPTIONS sont disponibles, avec des en-têtes autorisés et un corps texte quand la méthode le permet.
Réponse inspectable
Consultez statut, durée, en-têtes exposés et texte. Le JSON est indenté pour la lecture; un corps binaire affiche son type et sa taille.
Téléchargement fidèle
La réponse lisible complète peut être téléchargée jusqu’à 8 Mio. L’indentation JSON à l’écran ne modifie pas les octets du fichier.
Code avant connexion
Les aperçus cURL et Fetch suivent le brouillon sans lancer de requête. Les valeurs de requête dans l’URL et celles des en-têtes sensibles deviennent des marqueurs à remplacer.
Ce que le navigateur autorise réellement
- CORS ne dit pas toujours si l’envoi a eu lieu
- Une requête simple peut atteindre le serveur puis voir sa réponse bloquée. Un précontrôle échoué empêche l’envoi réel. Un message réseau générique ne permet pas de distinguer ces cas.
- Aucun proxy universel
- Le testeur de requêtes HTTP se connecte directement depuis le navigateur. Il ne contourne pas CORS; un relais du site demanderait des protections SSRF, une limitation de débit et des journaux expurgés.
- En-têtes interdits refusés
- Cookie, Host, Origin, Content-Length et Sec-* ne peuvent pas être définis par la page. Ils provoquent une erreur avant l’envoi au lieu d’être ignorés sans explication.
- Ni cookies automatiques ni nouvel essai
- Les identifiants du navigateur sont omis. Un POST échoué n’est pas relancé automatiquement et Annuler interrompt l’attente locale, pas nécessairement le travail du serveur.
- Limites de taille et de mémoire
- Le corps texte est limité à 1 Mio, la réponse lisible complète à 8 Mio. L’historique facultatif reste dans cet onglet, sans en-têtes ni corps, et disparaît quand on le désactive.
Questions sur le testeur de requêtes HTTP
Comment tester une API HTTP?
Saisissez une URL HTTP(S) absolue et cliquez sur Envoyer. L’exemple ne lance aucun trafic; la cible doit autoriser cette origine à lire la réponse.
Pourquoi ai-je une erreur CORS?
Le navigateur peut bloquer la lecture d’une réponse interorigine, ou rencontrer un problème DNS, réseau ou de contenu mixte. Une erreur ne prouve pas que la requête n’a pas atteint le serveur.
Puis-je envoyer des requêtes POST avec un corps JSON?
Oui, choisissez POST et le mode JSON. Le texte est validé, puis Content-Type est ajouté seulement si vous ne l’avez pas déjà renseigné.
Quel est le délai d'attente de la requête?
Le délai initial est de 30 secondes; vous pouvez choisir 5, 10, 30 ou 60 secondes. Il arrête l’attente locale sans annuler une opération déjà reçue.
Puis-je tester des APIs authentifiées?
Oui, ajoutez Authorization ou X-API-Key pour une cible de test. Ces valeurs partent seulement après votre clic et ne figurent pas dans l’historique de cet onglet.
Un champ semble mal interprété ?
Essayer le testeur de requêtes HTTP
Essayez le testeur de requêtes HTTP sur une API de test compatible CORS, vérifiez ce que le navigateur peut lire et enregistrez la réponse complète.