Ренатheader('Access-Control-Allow-Credentials: true');

Там ещё много таких неявных штук .

Сегодня прям день кроссдоменных запросов

А у кого-нить было в https запросах, что браузер непонимает ajax-ответа от сервера? Как вообще узнать чё этому браузеру надо? Fiddler показывает, что всё прекрасно - парочка туннелей на 443-ий порт с данными по сертификату, первый запрос OPTIONS, в ответ с сервака всякие Access-Control-Allow-Origin и прочая лабуда, затем с браузера погнал основной POST и дальше невменяемость - xhr.readyState=4 и xhr.status==0, ну и xhr.onerror выскакивает. В fiddler-е видно, что в последнем ответе (который крашится) с сервера идёт вполне себе вменяемый json. Если запросить напрямую (без ajax), то всё ok, если с ajax, но не https, то тоже ok. Куки на сервак идут (withCredentials и в xhr выставлено и с сервера в заголовке прилетает при options). Подозреваю, что где-то какая-то шняжка закралась.

Всё нормально, я гоню. Первому запросу с OPTIONS я все эти Access-Control-Allow-Origin выдал, а про второй POST то забыл, что там тоже нужно все эти хедеры выдавать. Банальная невнимательность, а столько времени теряется.