CORS: chi può leggere la risposta (non chi può chiamare l'API)
CORS è un header di risposta. Dice quale origin può leggere. Non chiude l'endpoint. Il jolly non sta con i cookie. Il preflight è un OPTIONS. Un plugi...