За доступ к данным на сервере отвечает заголовок Access-Control-Allow-Origin. В публичных API заголовок выглядит так:
Access-Control-Allow-Origin: *
Это позволяет получать доступ к данным с любого сайта, так как звездочка убирает ограничение по конкретным сайтам, с которых можно делать запрос.
В реальном проекте, где данные должны быть защищены, заголовок будет выглядеть примерно так:
Access-Control-Allow-Origin:
https://my-site.com Это значит, что сервер разрешает запросы только с конкретного сайта.
В заголовке Access-Control-Allow-Methods указывают допустимые методы запросов. В Access-Control-Allow-Headers — какие заголовки могут в нём быть.
Access-Control-Allow-Methods: GET,HEAD,PUT,PATCH,POST,DELETE
Access-Control-Allow-Headers: Origin, X-Requested-With, Content-Type, Accept.
Может поможет