Browser default headers, login CSRF token