[CORS] use HTTP