Доступ к API только с разрешённых сайтов

Входит в соответствующую работу

Результат

Разрешить только действительно требуемые origins/methods/headers; CORS не является authentication mechanism.

Browser client обращается cross-origin