Где сервер пересылает данные из CORS

Сервер пересылает CORS-заголовки в ответе на предварительный запрос (OPTIONS) и в основном ответе (GET, POST и т.д.). Основные заголовки:

1. Access-Control-Allow-Origin - указывает разрешенные домены (* для всех)
2. Access-Control-Allow-Methods - разрешенные HTTP-методы
3. Access-Control-Allow-Headers - разрешенные заголовки запроса
4. Access-Control-Allow-Credentials - разрешает передачу кук/авторизации

Пример ответа сервера:

HTTP/1.1 200 OK
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET, POST, OPTIONS
Access-Control-Allow-Headers: Content-Type
Access-Control-Allow-Credentials: true

Для простых запросов (GET/POST с ограниченными заголовками) сервер может сразу отвечать с CORS-заголовками без предварительного OPTIONS.