Михаил, хотя в Джанге не разбираюсь, тут возможно что-то связано с CSRFToken.
Нужно детально рассматривать запросы через developer tools в браузере и смотреть на каком основании был отклонен запрос. Может, в куках пусто и токен не передаётся и тогда сервер отказывает.
Все приложения/скрипты читают, обновляют и пишут в одну и ту же таблицу?
Используются ли транзакции? Запираются ли записи на время отправки уведомлений?
Из-за какой именно ошибки "умирает php-fpm"?
Безопасность и простое решение - не всегда сочетаемы. Напротив, безопасность, как правило, всё лишь усложняет.
Я бы создал 2 policy: один для работы веб-сайта, а другой - для закачки резервных копий. Тот, у кого root доступ, может работать без ограничений.
Если такой вариант устроит, то могу дать своё решение.
Кому и к чему нужно ограничить доступ?
Резервные копии тоже могут просматривать? У кого должен быть доступ к созданию и просмотру резервных копий?
"просматривать мою bucket" - это read only?
