Как браузер получает информацию о CORS

Браузер отправляет предварительный запрос (preflight) с методом OPTIONS перед основным запросом. Сервер должен ответить с заголовками:

• Access-Control-Allow-Origin – разрешённые домены (* или конкретный)
• Access-Control-Allow-Methods – разрешённые HTTP-методы
• Access-Control-Allow-Headers – разрешённые заголовки

Пример ответа сервера:

HTTP/1.1 204 No Content
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET, POST, PUT
Access-Control-Allow-Headers: Content-Type

Для простых GET/POST запросов без кастомных заголовков preflight не требуется, но браузер всё равно проверит Access-Control-Allow-Origin в ответе. Если домен не совпадает – запрос блокируется.