Der Browser sendet den Origin-Header automatisch (hier: ).
Der Server erlaubt nur https://sefodo.com / https://www.sefodo.com – von localhost/file:// kommt deshalb ein CORS-Fehler bzw. 403,
solange der Origin serverseitig nicht freigeschaltet ist.