Заголовок отсутствует _на третьей стороне_. То есть твоё приложение говорит браузеру "загрузи вооооон тот CSS", браузер шлёт на сервер третьей стороны preflight-запрос OPTIONS, в ответ оттуда прилетает CORS, позволяющий или запрещающий твоему приложению обращаться к серверу третьей стороны. Если разрешение есть - следом летит уже сам запрос GET/POST/whatever.
Обсуждают сегодня