message von iframe wird nicht von parent empfangen

[Linuchs]

Da ich das CORS Konzept nicht verstanden habe, weiß ich nicht, wohin mit den Zeilen

  Access-Control-Allow-Origin: https://shantyfreun.de
</head>

und

<script src = "https://shantyfreun.de" crossorigin="anonymus">
</head>

Nun wird der iframe Inhalt gar nicht mehr geladen.

Nochmal die Frage:

Warum kann die Seite https://shanty-fsd.de/ einen iframe mit src="https://remso.eu/?VIP=1010&LO=positionen&posi=19" zeigen?