Что работало для меня (при работе с AngularJS или JQuery), нужно добавить withCredentials: true для каждого запроса на клиенте:
$http.get("http://localhost:88/api/tests", {withCredentials :true})
И включение CORS на сервере, это было сделано с Microsoft.Owin .Cors from nuget и добавление его в Startup, как показано ниже:
public void Configuration(IAppBuilder app)
{
HttpConfiguration config = new HttpConfiguration();
ConfigureOAuth(app);
WebApiConfig.Register(config);
app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);
app.UseWebApi(config);
}
Ссылки: