Объясните как работает кросдоменная политика безопасности на примере модуля на Angular?

Я пилю модуль ангуляре,по сути переносной виджет,который другие сайты на ангуляре будут к себе встраивать.Есть сторона которая предоставляет api.Виджет по сути просто получет инфу с api и отправляет запросы.Изи подумал я,и начал пилить запросики.Но со временем отказалсь от прямых запросов к апи,т.к будет авторизация и еще что то,и теперь передаем все через ВебСокеты,что очень не удобно.

Я не очень понимаю почему нельзя работать напрямую с апи хотя бы для получения данных,я понимаю что апи и виджет будут лежать на разных серверах,и для нормального обмена данными нужно будет передавать заголовки,но разьве это проблема не решается инструментами ангуляра или JS?Стоит ли использовать встроенные инструмены ангуляра для работы с веб сокетами или обойтись JS-ом,т.к проект не большой? Почему тогда сейчас я могу работать с данным апи из любого другого места средствами ангуляра?Каким образом на крупных проектах решаются данные вопросы,когда апи и модуль лежат на разных серверах? Прошу знающего человека дать развернутый ответ,т.к пока в голове каша.Буду благодарен.