GraphQL в браузере: CORS, куки и один endpoint

JSON и кастомные заголовки требуют успешного OPTIONS.

Согласованные CORS-заголовки для OPTIONS и POST.

credentials и конкретный origin, не *.

CSRF для мутаций обязателен.