CORS (Cross-Origin Resource Sharing) — это механизм браузера, который запрещает запросы на другой origin (домен/порт/протокол) без явного разрешения сервера. Сервер должен ответить заголовками Access-Control-Allow-Origin, Allow-Methods и т.д. Для «непростых» запросов (PUT, DELETE, кастомные заголовки) браузер сначала шлёт preflight OPTIONS-запрос. CORS — это защита на стороне браузера, серверные запросы (curl, другие бэкенды) не подвержены этим ограничениям.