ho capito il problema.

in realtà ce ne è più di uno, ma nessuno legato a CORS.
quelle impostazioni funzionano!