CORS Knowledge

これは関係あるんやろうか？ない気がするけど、本間に詰まったらここ調べよ。

Access-Control-Allow-Headers "X-Requested-With, Origin, X-Csrftoken, Content-Type, Accept" // この辺は使うフレームワークにより異なるが許可するヘッダーを定義しておく。

てことは今originにdomainを明示指定してることは正しいと。

資格情報を含むリクエストに対するレスポンスの時、サーバーは Access-Control-Allow-Origin ヘッダーで "*" ワイルドカードではなくオリジンを指定しなければなりません。

CORS errorでたとき、クロスサイトでCookieが設定できない場合に確認することを参考にしたら解決できた。

TL;DR

その他詳しく知りたければ（知るべき）MDNのSet-CookieなどのCookie関連の記事を読むと良い。