CORS preflight
Requisição OPTIONS extra que o navegador envia antes de chamadas cross-origin "não simples", para perguntar ao servidor se a operação é permitida. Disparada por headers customizados, métodos além de GET/POST/HEAD, ou Content-Type além do form-encoded.
Fluxo: 1) navegador → OPTIONS com Access-Control-Request-Method + Headers; 2) servidor responde com Access-Control-Allow-Origin + Allow-Methods + Allow-Headers (+ Max-Age para cache); 3) a requisição de verdade passa. Custo de desempenho: o preflight consome uma viagem de ida e volta a mais. Mitigação: cachear via Access-Control-Max-Age (5s por padrão no Chrome, 24h no Firefox). Armadilha comum: o servidor não implementa um handler para OPTIONS → o preflight falha → erro de CORS sem sinal claro do motivo. As mensagens de erro do fetch são vagas; a aba de rede do DevTools mostra a falha do OPTIONS.