#15: add x-csrftoken to default CORS_ALLOW_HEADERS