Настройка CORS-заголовков для шрифтов в nginx

location ~* \.(eot|otf|svg|ttf|woff|woff2)$ {
    expires max;
    if ($request_method = 'OPTIONS') {
        add_header 'Access-Control-Allow-Origin' '*';
        add_header 'Access-Control-Allow-Methods' 'GET, OPTIONS';
        add_header 'Access-Control-Max-Age' 86400;
        add_header 'Content-Length' 0;
        return 204;
    }
    if ($request_method = 'GET') {
        add_header 'Access-Control-Allow-Origin' '*';
    }
}

Вместо expires max можно использовать меньшее время кэширования.

Использовать add_header Cache-Cotrol 'public' не имеет смысла, так как expires перетрёт этот заголовок на свой Cache-Control: max-age=NNNNN.

Вместо '*' можно указать конкретный домен: https//example.org.