Вечер добрый.
Нужно указать разрешенные домены где меняться будет только login
https://*.domain.ru'
add_header 'Access-Control-Allow-Origin' 'https://login.domain.ru';
Такой вариант не совсем подходит, так как требует размещение в location. А нужно вне всех location прописать add_header 'Access-Control-Allow-Origin' ''
if ($http_origin ~* "^https?://[^/]+\.domain\.ru$" ) {
add_header Access-Control-Allow-Origin $http_origin;
}