Какого заголовка не хватает, чтобы CORS не блокировал запросы по одному IP?

Robur, на самом деле и приходит true, указала на это. Поэтому и вопрос, почему в браузере "", если на сервере и клиента указаны такие-то параметры.

Какого заголовка не хватает, чтобы CORS не блокировал запросы по одному IP?

Это внешний ip, он нужен, но для локалки тоже это надо настраивать. Спасибо Вам

Какого заголовка не хватает, чтобы CORS не блокировал запросы по одному IP?

Запускаю хром с --disable-web-security, так всё работает, заголовок true.
В том и дело, что на сервере Credentials установлен как true. Разве он может прийти пустой?