[Daniil96]

В пользу гипотезы, что header-ы отправляются между .open() и .send() говорит само наличие метода .open(). Ведь этот метод для чего-то нужен. К тому же .open() инициирует переход в readyState = "OPENED".