api: implement CORS