оказывается если на странице с формой авторизации нет csrf_token то django не ставит такую куку в сессию (добавил)