Какие заголовки CORS нужно настроить на сервере?

Для полноценной работы CORS сервер должен отвечать заголовками: Access-Control-Allow-Origin (какие origin допущены), Access-Control-Allow-Methods (какие методы разрешены), Access-Control-Allow-Headers (какие заголовки разрешены). Дополнительно: Access-Control-Allow-Credentials (для cookies), Access-Control-Expose-Headers (какие заголовки ответа доступны JS) и Access-Control-Max-Age (кеш preflight).