Если вы находитесь в Chrome (и WebKit?), Заголовок «Origin» всегда включается в запросы POST, PUT и DELETE. Это верно как для однодоменных, так и для междоменных запросов. Заголовок «Origin» не включен в GET-запросы того же домена. AFIAK, нет способа удалить это.