Respuestas:
Amazon le permite habilitar CORS para el depósito S3. Ver:
https://docs.aws.amazon.com/AmazonS3/latest/dev/cors.html#how-do-i-enable-cors
S3 no admite el encabezado Access-Control-Allow-Origin.
Creo que puede, como en la consola S3, hay una pestaña en la ventana de propiedades para cada archivo etiquetado 'Metadata', que contiene una clave 'Content-Type' por defecto, que corresponde a la extensión del archivo. No es irrazonable suponer que también se enviarían claves adicionales como encabezados.
Pero al final, la forma más fácil de averiguarlo con seguridad sería colocar un pequeño archivo de prueba, agregar algunos metadatos, descargar el archivo y mirar los encabezados.
Content-Type, Content-Language, Expires, Cache-Control, Content-Disposition, y Content-Encodingcabeceras.