Как браузер узнает, можно ли обратиться к серверу

Браузер проверяет возможность обращения к серверу через CORS (Cross-Origin Resource Sharing). При кросс-доменном запросе браузер отправляет предварительный OPTIONS-запрос (preflight), если запрос не соответствует простым критериям (GET/POST/HEAD с разрешенными заголовками и Content-Type). Сервер должен ответить с заголовками Access-Control-Allow-Origin, Access-Control-Allow-Methods и другими, разрешающими доступ.

Пример простого CORS-ответа сервера:

Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET, POST

Для запросов с credentials (куки, авторизация) нужен Access-Control-Allow-Credentials: true, а Access-Control-Allow-Origin не может быть *.