From MDN:

> Additionally, for HTTP request methods that can cause side-effects on user data (in particular, for HTTP methods other than GET, or for POST usage with certain MIME types), the specification mandates that browsers "preflight" the request, soliciting supported methods from the server with an HTTP OPTIONS request method, and then, upon "approval" from the server, sending the actual request with the actual HTTP request method.  Servers can also notify clients whether "credentials" (including Cookies and HTTP Authentication data) should be sent with requests.

Peut-être pas nécessaire ici maintenant que je lis ça parce qu'on permet uniquement le GET, mais je trouve ça quand même logique de le laisser pour dire "CORS : GET only" plutôt que de faire un 404 quand un CORS call est fait avec autre chose que GET.