API - CSRF :null_session