add header auth token