Нужно класть задание в БД, получать в фоне, класть в БД ответ, затем на клиент прокидывать через пушер/аналог или если лень его настраивать - то с клиента раз в 5 секунд дергать "уже готово? а сейчас?"
Это называется ISO8601 "2022-06-02T16:58:35+0000", тут есть нюанс с часовыми поясами. т.е. 03.03.2023 13:50 по москве это 2023-03-03T10:50:00Z или 2023-03-03T13:50:00+03:00 а затем уже идут организационные или архитектурные решения, что с этим делать.
Нужно на стороне сервера в сессию (ну или ещё куда, если возможен переход между устройствами) класть локальное время сервера - начало отсчета викторины, потом сравнивать с этим значением локальное время сервера - время запроса с результатами. На клиенте это все баловство.
Меньше всего нагрузки даст php файл, который в начале server.php зареквайрен, но возникает проблема с тем, что это исполняемый код, соответственно, нужно очень внимательно относиться к изменению этого файла из админки на предмет всяких инъекций. Валидировать всё по максимуму, запретить произвольные строки, добавлять экранирование и вот это всё.
Access-Control-Allow-Origin specifies either a single origin which tells browsers to allow that origin to access the resource; or else — for requests without credentials — the "*" wildcard tells browsers to allow any origin to access the resource.
По русски - нельзя вайлкардить origin для запросов с авторизацией. Весьма вероятно это в консоли девтулзов разъяснено.
Ну а про постман выше написали.