enable CORS for JSON stuff