MediaWiki:Apihelp-main-param-origin

При обращении к API с использованием кросс-доменного AJAX-запроса (CORS), задайте параметру значение исходного домена. Этот параметр должен быть включён в любой предварительный запрос и таким образом должен быть частью URI-запроса (не тела POST).

Для аутентифицированных запросов он должен точно соответствовать одному из источников в заголовке Origin, так что он должен быть задан наподобие https://ru.wikipedia.org или https://meta.wikimedia.org. Если параметр не соответствует заголовку Origin, будет возвращён ответ с кодом ошибки 403. Если параметр соответствует заголовку Origin, и источник разрешается, будут установлены заголовки Access-Control-Allow-Origin и Access-Control-Allow-Credentials.

Для неаутентифицированных запросов укажите значение *. В результате заголовок Access-Control-Allow-Origin будет установлен, но Access-Control-Allow-Credentials примет значение false и все пользовательские данные будут ограничены.