Лучший ответ, который я обнаружил до сих пор, в надежде, что он поможет кому-то еще:
Насколько я могу судить, ключевой вопрос заключается в том, загружается ли файл CSS (не файл шрифта) междоменным. Если я загружаю файл CSS с объявлениями @ font-face из моего домена статических ресурсов, я ничего не делаю, чтобы шрифты работали в FF или IE, независимо от заголовков контроля доступа. Если я загружаю CSS-файл из того же домена, что и страница, или просто перемещаю свои объявления @ font-face в блок стиля в заголовке страницы, он работает во всех браузерах (я даже могу загружать файлы шрифтов междоменные пока у меня установлен заголовок контроля доступа).
Подводя итог: AFAICT, FF 3.5 и IE 8 откажутся соблюдать объявления @ font-face в CSS-файле, загруженном между доменами, несмотря ни на что.
Я бы с удовольствием поправился, если кто-нибудь знает лучше и может указать, что еще я могу делать неправильно.
Действительно, я был неправ. Оказывается, CSS-компрессор, который мы использовали для развертывания ресурсов, предназначенных для обслуживания из выделенного домена, оборачивал весь кусок CSS "@media screen {...}". Я тщательно сравнил правила @ font-face, чтобы убедиться, что компрессор не связывался с ними, но никогда не проверял начало и конец CSS-файла, чтобы уловить эту упаковку. Когда я перешел на обслуживание того же домена, такого переноса не было.
Как выясняется, IE и Firefox не соблюдают объявления @ font-face, заключенные в @media: Safari, Chrome и Opera.
Вздох.