CORS-Fehler im Embed

Symptom

Access to fetch at 'https://api...' from origin 'https://...' has been blocked by CORS policy

Ursache

Der Request ging an die Cabinet-Surface (Allowlist-CORS), nicht an die Embed-Surface (* CORS).

Lösung

1. Die Partnerseite muss /api/v1/embed/* ansprechen, nicht /api/v1/orgs/*
2. JWT (kein Cookie) — via Authorization: Bearer
3. Die Origin der Partnerseite muss in der Allowlist des API-Keys mk_* stehen