Проблема имела два аспекта:
Ошибка CORS, решаемая решением @mikheevm.
Защита от DDoS на уровне 7, предоставляемая ArvanCloud. Он заблокировал наши запросы и вызвал повторное перенаправление 307, которое закончилось, когда запрос был отменен. Эта проблема также была решена путем цепляния за базовую защиту.