Как проверить, что куки пришли в ответ на кросc-доменный запрос?

Спасибо за ответ:)
Во-первых, вводная была такая - по не важно каким причинам сейчас переделывать бекенд никто не будет. Т.е. подкрутить http заголовки респонза или реализовать jwt нельзя. А так да - вариантов много.
Во-вторых, когда ajax-реквест передается с параметром withCredentials: true, то куки пришедшие в ответ недоступны через document.cookie (если не подкрутить флаги в браузере). В этом вся загвоздка:) Хотелось бы чтобы оказался какой-нибудь bom метод, который я не знаю, который бы чекал все куки и сообщал, что есть следущие куки с такими вот ключами (значение, очевидно, не важно).
Похоже, придется делать дополнительные запросы.

Борис Зырянов,

ajax-реквест передается с параметром withCredentials: true, то куки пришедшие в ответ недоступны

Доступны, если он ставятся на тот же домен (или вайлдкард), на котором находится клиент и у куков нет httpOnly.

Roman Kitaev, Дак запрос-то кросс-доменный...
Для не кросс-доменных в принципе не особо нужен параметр withCredentials.

Борис Зырянов, Он может быть кроссдоменным с sub.example.com на anothersub.example.com, а кука JWT поставится на .example.com и будет доступна. Это твоя проблема, что ты не уточнил. Тогда только по коду ответа / самому ответу смотреть.