Что содержится в Allow-Origin заголовке

Заголовок Access-Control-Allow-Origin указывает, какие домены могут получать доступ к ресурсам сервера через CORS (Cross-Origin Resource Sharing).

• Если значение *, доступ разрешён для всех доменов.
• Если указан конкретный домен (например, https://example.com), доступ разрешён только для него.
• Если запрос включает credentials (куки, заголовки авторизации), * не допускается — нужно явно указать домен.

Пример ответа сервера:

Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Credentials: true