spaceapi: enable CORS header