Как вы можете видеть из этого потока Bugzilla (а также), Firefox не всегда отправляет заголовок Origin в запросах POST. RFC заявляет, что его не следует отправлять в определенных неопределенных контекстах, "чувствительных к конфиденциальности". Mozilla определяет эти контексты здесь.
Я хотел бы знать, являются ли это единственными ситуациями, когда Firefox не отправляет заголовок Origin. Насколько я могу судить, он также не будет отправлять его в POST-запросах между источниками (хотя Chrome и IE будут), но я не могу подтвердить это в документации. Это где-то перечислено, что я скучаю?