CORS
Правила, по которым веб-страница может обращаться из браузера к API другого домена.
По умолчанию сайт на thern.io не может без разрешения вызвать example.com/api через fetch. Сервер должен вернуть в ответе Access-Control-Allow-Origin: https://thern.io.
Это защита от вредоносного сайта, который иначе прочитал бы ваши данные с другого сайта, где вы авторизованы. Защита только браузерная — вызовы «сервер — сервер» она не затрагивает.