La protection CSRF empêche un site tiers de faire envoyer à un utilisateur connecté une requête non voulue. Django ajoute un middleware qui exige un jeton secret dans chaque formulaire POST ; on l'insère avec la balise {% csrf_token %}. Sans lui, la requête est refusée avec une erreur 403.
Exemple
<form method="post">
{% csrf_token %}
...
</form>