CORS não é detalhe: por que times ainda erram esse básico