adds CORS headers