Le problème avec Oops est assez surprenant — je ne m’attendais pas à ce que cela soit lié à Cloudfront… Mais s’il est corrigé maintenant… tant mieux ! 
Cela signifie simplement « cet actif est autorisé à être utilisé depuis un contexte inter-sites ». Vous ne voudriez probablement pas ce en-tête sur les réponses HTTP du forum lui-même. Mais pour les actifs statiques, qui ne nécessitent pas d’authentification et ne contiennent aucune information privée, c’est tout à fait acceptable. C’est exactement la façon dont le système CORS est censé être utilisé — pour permettre aux serveurs de contrôler sélectivement quelles réponses doivent être disponibles inter-sites.
Si vous le souhaitiez vraiment, vous pourriez définir Access-Control-Allow-Origin: my-forum.example.com. Mais vous rencontrerez alors des problèmes si vous changez un jour le domaine de votre forum.