Ja, vom Browser aus. Entschuldigen Sie, wenn ich mich nicht klar ausgedrückt habe. Dies geschieht alles von einer anderen Webanwendung aus, der Benutzer ist nicht angemeldet und es gibt kein iFraming von Discourse. Die Anfrage stammt von einem Browser, der den apikey als Request-Parameter übergibt.
Mein Verständnis von API-Schlüsseln ist, dass wir, sobald wir den API-Schlüssel eines Benutzers haben, in seinem Namen von überall aus handeln können, sogar von einer Konsole/einem Terminal (curl oder Äquivalent). Kein CORS mehr.