*forbidden header name* に記載されているヘッダは、**ブラウザが自動的に追加するものであり、 JavaScript から制御することは出来ません**。そして、たとえ *forbidden header* がヘッダに含まれていたとしても、それはシンプルリクエストになり得ます。

> ### HTTP header layer division<sup>[\[1\]][1]</sup>
> For the purposes of fetching, there is an API layer (HTML’s img, CSS' background-image), early fetch layer, service worker layer, and network & cache layer. `Accept` and `Accept-Language` are set in the early fetch layer (typically by the user agent). Most other headers controlled by the user agent, such as `Accept-Encoding`, `Host`, and `Referer`, are set in the network & cache layer. Developers can set headers either at the API layer or in the service worker layer (typically through a Request object). Developers have almost no control over forbidden headers, but can control `Accept` and have the means to constrain and omit `Referer` for instance. 
>
>---
> ### § 2.2.2. Headers<sup>[\[2\]][2]</sup>
> These are forbidden so the user agent remains in full control over them. Names starting with `Sec-` are reserved to allow new headers to be minted that are safe from APIs using fetch that allow control over headers by developers, such as XMLHttpRequest. [XHR]


たとえば、 `Origin` ヘッダは *forbidden header* ですが、 **CORS リクエストには必ず含まれる**ものです。このことからも、「*forbidden header* に記載があるヘッダはシンプルリクエストのヘッダに含めてはならない」という主張が成り立たないとわかります。

> ### § 3.2.2. HTTP requests<sup>[\[3\]][3]</sup>
> A CORS request is an HTTP request that includes an `Origin` header. It cannot be reliably identified as participating in the CORS protocol as the `Origin` header is also included for all requests whose method is neither `GET` nor `HEAD`.

また、 `Cookie` ヘッダについても、一度 `Set-Cookie` ヘッダにより Cookie が設定されていれば、シンプルリクエストの送信前にブラウザによって自動的に付与されます。

よって、シンプルリクエストとしての条件を満たしていれば、それはシンプルリクエストになります。


  [1]: https://fetch.spec.whatwg.org/#http-header-layer-division
  [2]: https://fetch.spec.whatwg.org/#terminology-headers
  [3]: https://fetch.spec.whatwg.org/#http-requests