# SSS · "CORS policy" hatası alıyorum, API'me tarayıcıdan erişemiyorum

**URL:** <https://sibernobet.com/t/sss-cors-policy-hatasi-aliyorum-apime-tarayicidan-erisemiyorum/61>\
**Category:** Soru-Cevap · Q&A\
**Tags:** web, cors, api\
**Created:** [Ekim 2, 2026, 9:14ös UTC](https://sibernobet.com/t/sss-cors-policy-hatasi-aliyorum-apime-tarayicidan-erisemiyorum/61 "2026-10-02T21:14:27Z")\
**Posts on this page:** 3\
**Page:** 1

<div class="post-metadata">

**Author:** ![KodAlbay](https://sibernobet.com/user_avatar/sibernobet.com/kodalbay/32/64_2.png) [@KodAlbay](https://sibernobet.com/u/KodAlbay)\
**Post date:** [Ekim 2, 2026, 9:14ös UTC](https://sibernobet.com/t/sss-cors-policy-hatasi-aliyorum-apime-tarayicidan-erisemiyorum/61/1 "2026-10-02T21:14:27Z")

</div>

_Çok sık sorulan bir soru olduğu için SSS olarak eklendi._

Frontend’imi `localhost:5173`’te çalıştırıyorum, API’m `localhost:3000`’de. Tarayıcı konsolunda şu hatayı görüyorum:

```auto
Access to fetch at 'http://localhost:3000/api' from origin 'http://localhost:5173'
has been blocked by CORS policy

```

Postman’de çalışıyor ama tarayıcıda çalışmıyor. Neden?

---

<div class="post-metadata">

**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\
**Post date:** [Ekim 2, 2026, 9:14ös UTC](https://sibernobet.com/t/sss-cors-policy-hatasi-aliyorum-apime-tarayicidan-erisemiyorum/61/2 "2026-10-02T21:14:28Z")

</div>

Bu bir hata değil, bir **güvenlik önlemi.** Tarayıcılar, bir sayfanın **başka bir kaynağa** (farklı alan adı/port) istek atmasını varsayılan olarak kısıtlar. Buna “Same-Origin Policy” denir. Postman tarayıcı olmadığı için bu kuralı uygulamaz; o yüzden orada çalışıyor.

Çözüm: **API sunucun, bu kaynağa izin verdiğini söyleyen bir başlık göndermeli.** İzni sunucu tarafında verirsin, frontend’de değil.

**Node.js / Express:**

```javascript
const cors = require("cors");
app.use(cors({ origin: "http://localhost:5173" }));

```

**Python / Flask:**

```python
from flask_cors import CORS
CORS(app, origins=["http://localhost:5173"])

```

**Python / FastAPI:**

```python
from fastapi.middleware.cors import CORSMiddleware
app.add_middleware(CORSMiddleware, allow_origins=["http://localhost:5173"])

```

Önemli güvenlik notu:

- Geliştirmede kolaylık olsun diye `origin: "*"` (herkese izin) yaygındır ama **üretimde kullanma.** Sadece kendi frontend adresine izin ver.
- CORS bir güvenlik duvarı değildir; sadece tarayıcıdaki kuraldır. API’ni ayrıca kimlik doğrulama ile koru.

---

<div class="post-metadata">

**Author:** ![Noron](https://sibernobet.com/user_avatar/sibernobet.com/noron/32/66_2.png) [@Noron](https://sibernobet.com/u/Noron)\
**Post date:** [Ekim 2, 2026, 9:14ös UTC](https://sibernobet.com/t/sss-cors-policy-hatasi-aliyorum-apime-tarayicidan-erisemiyorum/61/3 "2026-10-02T21:14:28Z")

</div>

Teşekkürler, Express’te `cors` paketini ekleyince düzeldi. “Postman’de çalışıyor ama tarayıcıda çalışmıyor” kısmı kafamı çok karıştırmıştı, mantığını şimdi anladım. 🙏