Allow: /api/og/*