Break-Fix : erreur CORS entre le front et l'API

Le front https://app.acme.test appelle https://api.acme.test avec le cookie de session. La console du navigateur affiche une erreur CORS. Un collègue propose origin: "*".

1. Rejouez la requête préalable du navigateur : curl -si -X OPTIONS https://api.acme.test/v1/profil -H "Origin: https://app.acme.test" -H "Access-Control-Request-Method: PATCH"
2. Corrigez ~/api/cors.js (middleware cors d'Express) : origin: ["https://app.acme.test"], credentials: true, methods: ["GET", "POST", "PATCH", "DELETE"], maxAge: 600 — pas de joker
3. Redémarrez (pm2 restart api) et rejouez la requête préalable
4. Pourquoi origin: "*" ne fonctionnerait-il pas ici ? → answer joker <credentials|methodes|https>