Короче, Safari при CORS-запросе отправляет на префлайте Access-Control-Request-Headers: Origin. Ориджин, КАРЛ! Кто бы мог догадаться. Чтобы облегчить отладку, проваленные по CORS запросы не попадают в Network Timeline, а попадают в Resources! Чтобы окончательно облегчить отладку, ты должен догадаться нажать там еще на одну кнопку "Resources", где уже видны HTTP-заголовки. #mokum-dev (tnx @payalnik) Проблема воспроизводится на http://www.test-cors.org/