Sí, desde el navegador. Disculpas si no fui claro. Todo esto está sucediendo desde otra aplicación web, el usuario no ha iniciado sesión y no hay iframes de Discourse. La solicitud se origina en un navegador que pasa la apikey como parámetros de solicitud.
Entiendo que las apikey, una vez que las tenemos, nos permiten actuar en nombre del usuario desde cualquier lugar, incluso desde una consola/terminal (curl o equivalente). No más CORS.