¿Por qué el navegador envía una petición OPTIONS antes de algunas de nuestras llamadas a la API y cómo evitas que falle?

Esa llamada OPTIONS es el preflight de CORS. Los navegadores la envían siempre que una petición de origen cruzado no es simple, lo que cubre cualquier cabecera personalizada, un content type JSON o un método distinto de GET, HEAD o POST. Tu servidor tiene que responder a ese OPTIONS con Access-Control-Allow-Origin, Allow-Methods y Allow-Headers que cubran de verdad la petición real, más Allow-Credentials y un origen concreto si hay cookies de por medio.

El preflight es el navegador pidiendo permiso antes de enviar nada con efectos secundarios. Un GET normal sin cabeceras personalizadas es una petición simple y sale directa, pero en cuanto añades una cabecera Authorization o envías application/json, te llega antes el OPTIONS. Cuando falla, compruebo tres cosas en orden: si el servidor responde a OPTIONS siquiera, si Access-Control-Allow-Headers lista todas las cabeceras que envía la petición real, y si el origen se devuelve exactamente igual incluyendo esquema y puerto. El caso con credenciales pilla a mucha gente, porque si envías cookies no puedes usar un origen comodín; tienes que reflejar un origen permitido concreto y poner Access-Control-Allow-Credentials en true. También configuro Access-Control-Max-Age para que el navegador deje de hacer preflight en cada llamada. Lo que me aseguro de que un equipo entienda es que nada de esto protege la API. Cualquier cosa que no sea un navegador ignora CORS por completo, así que la autorización sigue teniendo que aplicarse en el servidor.