Exemple de question : erreur CORS sur une API REST

Contexte :

Application frontend en React qui consomme une API REST hébergée sur un autre domaine. En environnement de développement tout fonctionne, mais en production j’obtiens une erreur CORS dans la console du navigateur.

Message d’erreur :

Access to fetch at 'https://api.monsite.com/data' from origin 'https://app.monsite.com'
has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present
on the requested resource.

Ce que j’ai déjà testé :

• Ajout du header Access-Control-Allow-Origin: * côté Nginx.
• Vérification des méthodes HTTP autorisées.
• Test en désactivant provisoirement le cache.

Question : comment configurer correctement les en-têtes CORS (par exemple avec Nginx ou un middleware backend) pour autoriser uniquement mon domaine frontend en production ?