Cross-Origin Resource Sharing ist der volle Name hinter CORS. Die Erlaubnis steht in Kopfzeilen der Antwort; der Stern erlaubt jede Herkunft und ist deshalb nur für öffentliche Schnittstellen ohne Anmeldung vertretbar. Den Server schützt CORS nicht, denn die Regel gilt allein im Browser.
Siehe: CORS