Errores CORS en el embed

Síntoma

Access to fetch at 'https://api...' from origin 'https://...' has been blocked by CORS policy

Causa

La petición fue a la superficie cabinet (CORS con allowlist), no a la superficie embed (CORS *).

Solución

1. El sitio partner debe pegar a /api/v1/embed/*, no a /api/v1/orgs/*
2. JWT (no una cookie) — vía Authorization: Bearer
3. El origen del sitio partner debe estar en la allowlist de la clave API mk_*