Для REST API по умолчанию сейчас кросдоменные запросы блокируются броузером и их нужно отдельно включать.
Кто-нибудь может объяснить в чем риск и с чем это связано?