クッキー

セッションクッキーは HTTPONLY に設定すべきです。

SESSION_COOKIE_HTTPONLY = True

ドットから始まるワイルドカードドメインを持つよう、CSRF やセッションクッキーを設定してはいけません。Horizon のセッションクッキーと CSRF クッキーは HTTPS を使用した環境のときにセキュア化すべきです。

CSRF_COOKIE_SECURE = True
SESSION_COOKIE_SECURE = True