La sécurité en production repose sur DEBUG = False, une SECRET_KEY protégée, des ALLOWED_HOSTS explicites, HTTPS et des cookies sécurisés. Django protège déjà contre le CSRF, le XSS et l'injection SQL, tant que ces mécanismes ne sont pas contournés. La commande check --deploy signale les réglages manquants.
Exemple
python manage.py check --deploy