A
(т.е. когда вы запрашиваете URL с фронта - всегда есть хидер "origin", которого при "обычном" браузинге нету)
Саппорт CF об этом кстати не знает и помочь так и не смог, откопали в доках сами https://support.cloudflare.com/hc/en-us/articles/200169246-Purging-cached-resources-from-Cloudflare#h_fb40387b-d068-4c38-96fc-29d05d35e81e