Teste se uma API aceita chamadas cross-origin, seu navegador faz a requisição de verdade e a ferramenta explica o resultado.
CORS (Cross-Origin Resource Sharing) é o mecanismo que os navegadores usam para decidir se o JavaScript de um site (a "origem", por exemplo https://jkit.tools) pode ler a resposta de uma requisição feita a outro domínio (por exemplo https://api.terceiro.com). Por padrão, isso é bloqueado pela mesma política de origem (same-origin policy), a menos que o servidor de destino responda com os headers Access-Control-Allow-Origin (e, dependendo do caso, Access-Control-Allow-Methods, Access-Control-Allow-Headers e Access-Control-Allow-Credentials) autorizando explicitamente aquela origem. Esta ferramenta faz o seu navegador executar a chamada de verdade contra a URL informada, com o método e os headers que você escolher, e interpreta o resultado, sucesso significa que sua origem foi autorizada; bloqueio significa que não foi, o que é um resultado tão válido quanto o outro para fins de diagnóstico.
Cole o código no seu HTML e a ferramenta aparece na sua página, sem a navegação e sem os anúncios do J-Kit. Ela continua rodando no navegador de quem visita o seu site.
<iframe
src="https://jkit.tools/embed/pt-BR/testador-cors"
width="100%"
height="600"
style="border:0"
loading="lazy"
title="Testador de CORS"
></iframe>Estas referências ajudam a contextualizar fórmulas, padrões, APIs e limitações usadas nesta página. Elas não substituem validação profissional quando o resultado tiver impacto jurídico, financeiro, médico ou operacional.
Esse é justamente o sintoma de um bloqueio de CORS: o navegador rejeita a promise do fetch() antes de entregar qualquer dado ao JavaScript, sem detalhar o motivo. O problema é que essa mesma mensagem genérica também aparece em falhas de DNS, TLS ou conectividade, então o navegador não distingue as duas coisas para o script que fez a chamada.
O seu navegador faz a requisição de verdade para a URL informada, exatamente como qualquer página faria. Se a chamada for concluída, a origem atual foi autorizada. Se for bloqueada, o navegador nem chega a mostrar dados à página, esse já é o resultado.
Esta requisição usa só método e headers considerados "seguros" pelo CORS (GET/HEAD/POST com Content-Type simples e headers padrão), então o navegador a envia direto, sem checagem prévia via OPTIONS.
A requisição de teste sai diretamente do seu navegador para a URL informada, o servidor do J-Kit nunca vê, resolve ou intermedeia esse endereço. É o mesmo tipo de chamada que qualquer script na sua própria página faria.