Как работает CORS — простые и preflight-запросы?

CORS делит запросы на простые (simple) и непростые (preflighted). Простые запросы отправляются сразу с заголовком Origin, и браузер проверяет ответный Access-Control-Allow-Origin. Непростые запросы сначала проходят через автоматический preflight — запрос методом OPTIONS, который спрашивает у сервера разрешение. Только после успешного preflight браузер отправляет основной запрос.