CORS (Cross-Origin Resource Sharing) - механизм разрешения запросов с одного домена (origin) к другому. Браузер при cross-origin запросе шлет preflight (OPTIONS), сервер отвечает заголовками Access-Control-Allow-Origin, Access-Control-Allow-Methods, Access-Control-Allow-Headers. Без правильных заголовков браузер блокирует ответ. Настройка на сервере: разрешить нужные origin (или * для публичных API), методы, заголовки. Credentials - с cookies через Allow-Credentials.