CORS Checker

Сервер не вернул нужный Access-Control заголовок или он не совпадает с origin. Проверьте ответ в Network. CORS Checker симулирует запрос и показывает заголовки.

Для «сложных» запросов (не GET/POST с простыми заголовками) браузер сначала отправляет OPTIONS. Сервер должен ответить с CORS заголовками. Preflight кэшируется.

Access-Control-Allow-Origin: * — только для публичных API без credentials. С credentials нужен конкретный origin. * и credentials несовместимы.

CORS — защита браузера. «Отключить» на сервере нельзя — можно только разрешить нужные origin. Не используйте * для API с авторизацией.