スペックではWww-Authenticateに付いているインボイスを支払えば、Authトークンに準じるいわば"Paid"トークン（勝手に名前つけた）が添付できるようになる。そうすればOPTIONSが200になり後続の画像のGETリクエストが走る、はず。