Do CORS first