В курле я их тоже не передаю. Меня сайт именно банит с подозрением что я типа бот. Отдает страницу чтобы я проверился на вирусы. Вопрос в том как он моментально чует разницу между axios и curl
Смотреть заголовки и, возможно, кукисы. С большей вероятностью дело именно в заголовках и в первую очередь я бы посмотрел origin.
Хотя не исключено, что банить может вообще по своему усмотрению рандомно (например, не больше н запросов в минуту)