あ、ごめんクッキーじゃないや

`X-CSRF-Token`っていうHTTPヘッダーがついてない？