Allow OPTIONS on /token