tweak the optin, add csrfguard