add session_token to header