Tu fetch a la API falla con un error de CORS en el navegador, pero la misma petición funciona bien con curl. ¿Qué está pasando y qué haces?

CORS lo aplica el navegador, no el servidor, así que curl nunca lo ve. Probablemente la petición llegó al servidor y la respuesta simplemente no traía una cabecera de origen permitido que el navegador aceptara, o falló un preflight OPTIONS. Revisa en la pestaña de red la petición OPTIONS y sus cabeceras de respuesta, confirma que el origen, los métodos y las cabeceras permitidos cubren tu llamada, y recuerda que con credenciales hace falta un origen explícito más allow credentials, nunca un comodín.

Lo primero que digo es que CORS es una regla del navegador, no del servidor, así que que curl funcione no me dice nada salvo que el endpoint está levantado. El navegador hizo la petición, o un preflight para ella, y se negó a entregarme la respuesta porque las cabeceras no permitían mi origen. Así que abro la pestaña de red y busco primero una petición OPTIONS. Si está ahí y devuelve un 4xx, el preflight en sí está fallando, normalmente porque añadí una cabecera personalizada o un content type JSON que lo sacó de la categoría de petición simple, y la lista de cabeceras permitidas del servidor no la incluye. Si no hay preflight, entonces a la respuesta real le falta una cabecera de origen permitido que coincida con el mío. La solución es del lado del servidor. En desarrollo local paso por un proxy del servidor de desarrollo para que mi origen coincida, pero me aseguro de que las cabeceras reales también estén configuradas, o si no se rompe en staging. Y si la llamada envía cookies, el servidor tiene que devolver un origen concreto más allow credentials, ya que en ese caso un comodín se rechaza.