Кроссдоменный POST

[zzzzzz]

Ребята помогите. В голове каша а ответа нет.
Уже битый час пытаюсь из min.example.com передать текст POST аякс запросом на хост api.example.com

Получаю [HTTP/1.0 403 FORBIDDEN 1029мс]

Прочитал про защиту, cors и еще много всего.

Кто запрещает? Сервер или браузер видит что домены разные и отрубает запрос?
У jquery ajax есть свойство "crossDomain" - оно не работает.

Ребят мне не готовый ответ нужен, я "сгораю" от того что в принципе сути не понимаю.

[nerv_]

я "сгораю"

<iframe width="640" height="360" src="https://www.youtube.com/embed/HvTZbrzzhp4" frameborder="0" allowfullscreen></iframe>

https://learn.javascript.ru/ajax

[zzzzzz]

я там был, мед пиво пил, тыкните пожалуйста в разде

[zzzzzz]

я токен не отправляю? в этом дело?

[KosBeg]

я токен не отправляю? в этом дело?

не токен, а хедер "Access-Control-Allow-Origin: http://min.example.com"
min.example.com - сайт с которого можно делать аякс-запросы, можно "*"(очень не желательно, даже противопоказано), или вроде можно через запятую
https://learn.javascript.ru/xhr-cros...81%D0%BE%D0%B2

[KosBeg]

например на PHP делается так(я уверен что api-сервер не на PHP, но все же)

header('Access-Control-Allow-Origin: http://min.example.com');

UPD: все работает, потестил на локалке, сделал запрос с http://min.example.com/ на http://test.tk/ , все ок,
а если убрать хедер - запрещает)

[zzzzzz]

Браузер выполняет два обращения к серверу???
Первый чтобы получить Access-Control-Allow-Origin
и если получил * или домен с которого идет запрос то второй чтобы выполнить POST/GET/PUT/DELETE?????

[zzzzzz]

к счастью серверная часть на питоне

[Deff]

zzzzzz,
А в чем проблема, если есть доступ к программированию серва с текущего домена? Отправить post-запроса на текущий домен, проставив признак переадресации(к примеру в скрытом поле) , переотправить post-запрос на серве на нужный адрес...
============
В сети есть так же велосипеды на cвязке js-adobe флешь, или использовании анонимайзеров... или прокси

[zzzzzz]

да вообще я бы передал запрос серверному скрипту на текущем домене, он бы не выпендривался.
Но у нас все по фэншую