credentials: include y CORS: sin comodines

Allow-Credentials true y Allow-Origin concreto.

SameSite=None necesita HTTPS.

Reenvío de Authorization explícito.

Elimina Set-Cookie si no aplica.