La cosa con Oops è piuttosto sorprendente - non mi sarei aspettato che fosse collegata a Cloudfront… Ma se ora è risolta… ottimo! 
Significa semplicemente che “questa risorsa è consentita per l’uso in un contesto cross-site”. Probabilmente non vorresti questa intestazione nelle risposte HTTP effettive del forum. Ma per le risorse statiche, che non richiedono autenticazione e non contengono informazioni private, è perfettamente accettabile. È esattamente così che il sistema CORS è progettato per essere utilizzato - per consentire ai server di controllare selettivamente quali risposte devono essere disponibili in modo cross-site.
Se lo volessi davvero, potresti impostare Access-Control-Allow-Origin: my-forum.example.com. Ma in tal caso, incontrerai problemi se in futuro dovessi cambiare il dominio del forum.