Segurança Extra
Se você quer garantir que ninguém altere esses endpoints em runtime (exemplo: via injeção no window), nunca exponha a url de remote em variáveis globais na aplicação. No lado do remote, configure o CORS para aceitar apenas domínios específicos, se desejar proteção mais rígida:

preview: {
headers: {
"Access-Control-Allow-Origin": "https://seu-host-autorizado.com"
}
}

Assim, mesmo que alguém tente consumir a remote a partir de outros domínios, o navegador irá bloquear por CORS.