CORS og kald fra browseren

Kalder du API'et direkte fra browseren (frontend), er der et par ting at vide:

1. Brug en offentlig nøgle, ikke en live-nøgle — en live-nøgle må aldrig ligge i kode, brugeren kan se.
2. Lås den offentlige nøgle til dit domæne (origin-allowlist, fx https://example.com). Det er påkrævet: uden domæner afvises alle kald. Kald fra andre domæner afvises med 403 og beskeden «Origin '…' er ikke på allowlisten». Tilføj domænet under nøglens Konfiguration → Tilladte origins.
3. Får du en egentlig CORS-fejl i browseren, så tjek dine headers: fra browseren må du kun sende Authorization og Content-Type. Andre egne headers (fx X-Addr-Key) afvises af browserens preflight.

Skal kaldet helst ikke ses af brugeren (fx følsomme opslag), så lav det fra din server med en live-nøgle i stedet.