Борис Черепанов

Вам нужно указывать домены с которых можно делать запросы в заголовке Access-Control-Allow-Origin. Origin это заголовок запроса
Подробнее о CORS

Вы можете прочитать статью "Fetch и CORS. Пример на ReactJS и другие"

Кажется вам нужно в ответе на запрос отдать заголовки:

Access-Control-Allow-Credentials: true
// Тут перечисляем наши заголовки
Access-Control-Allow-Headers: Authorization, прочие заголовки запроса... 
// Перечисляем разрешённые методы
Access-Control-Allow-Methods: POST, GET, PUT, DELETE, OPTIONS
// Пишем домен с которого отправляем запрос
Access-Control-Allow-Origin: https://yourdomain.ru