Registro de Intentos
Seguí la sugerencia del comentario de @fredyfx y no funcionó.
Como tengo la idea que el problema es con Nginx hice esta prueba: a) verificar si el origen está en la lista blanca; b) si está activar una variable; c) si está activa la variable, activar los encabezados...
Hice una regex para aceptar mis subdominios:
https?://(.*\.toledano\.org)(:[0-9]+)?
y si funciona.Agrego este código a la configuración de Nginx:
set $cors ''; if ($http_origin ~ 'https?://(localhost|127\.0\.0\.1|.*\.toledano\.org)(:[0-9]+)?') { set $cors '1'; }
y agrego unos encabezados de prueba...
add_header 'nSpaces-Origen' "$http_origin"; add_header 'nSPaces-CORS' "$cors";
y la prueba es correcta, veo el encabezado
nSpaces-CORS
...$ curl -I -s -X GET -H "Origin: https://media.toledano.org" https://yo.toledano.org HTTP/1.1 200 OK # bla bla bla Access-Control-Allow-Origin: * nSpaces-Origen: https://media.toledano.org nSPaces-CORS: 1
Entonces agrego este fragmento, para activar el resto de los encabezados...
if ($cors = '1') { add_header 'Access-Control-Allow-Origin' "$http_origin"; add_header 'Access-Control-Allow-Credentials' 'true'; add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS'; add_header 'Access-Control-Allow-Headers' 'Accept,Authorization,Cache-Control,Content-Type,DNT,If-Modified-Since,Keep-Alive,Origin,User-Agent,X-Requested-With'; }
y la prueba ¡ya no funciona! (El resultado es el mismo que el de 2.1).