Решил заморочиться с CORS для своего API, чтобы разные фронты нормально работали, но получил странные баги - сайт начал ругаться и не загружать данные. Сначала тащил Access-Control-Allow-Origin: * и думал, что это быстро решит проблему, но фронт в ответ просто перестал подгружать инфу. Понял, что wildcard не катит для запросов с куками и авторизацией - нужно было конкретный URL указывать. Поставил конкретный домен, но всплыли проблемы с OPTIONS (препрайт-запросы) - сервер их не всегда нормально обрабатывал. Прописал в nginx и подправил бэкенд, чтобы OPTIONS отдавал 200, тогда всё ожило. При этом браузеры по-разному ведут себя, локальное тестирование тоже требует допила. Теперь думаю, может проще отдельный прокси поднять, чем колдовать с этими заголовками? У кого было похожее и как вытягивали CORS в реальных проектах?