Заголовок:
После перехода на HTTPS CORS начал жёстко глючить — как вы с этим боролись?

Текст:
Переключил сайт на HTTPS, всё вроде работает, но API с других доменов теперь лезут ошибки с CORS. Настроил Access-Control-Allow-Origin, но особенность с авторизацией через куки и fetch с credentials не ушла. Пробовал и '*' ставить, и конкретные домены — всё равно браузер ругается, особенно Chrome очень жёсткий по этому поводу. Ещё иногда вылетает 403 на preflight OPTIONS, и API падает.

Экспериментировал с разными настройками заголовков: Access-Control-Allow-Methods настроил на POST, GET, OPTIONS, Allow-Headers - Content-Type, Authorization, но где-то всё равно либо куки не передаются, либо OPTIONS запрос падает. Пытался ещё заголовки ставить через nginx, потому что backend на Node — вроде кросс-оригиналку надо на уровне сервера отдавать, но что-то в стыковке с авторизацией и куками всё равно сбоит. Особенно тяжко было понять, что с credentials нельзя '*' в Allow-Origin ставить, иногда помогает прописать конкретный домен, но если у меня несколько фронтов, то получается дичь.

Пробовал и временно костылить через proxy, чтобы запросы шли с того же домена, но эффекта на качество проекта особенного нет. Больше всего сбивают именно preflight OPTIONS, которые порой отвечают 403, хотя логика простая, а причин от сервера не особо видно. Если в логах добавить больше дебага, то узнаю, что именно не так с заголовками, но с ходу исправить так и не вышло. В общем, пока мучаюсь, правда, есть подозрение, что и на стороне клиента надо ловко контролировать fetch-опции, чтобы правильно вызывать запросы с куками — но тут тоже подвохи.