Михаил, хотя в Джанге не разбираюсь, тут возможно что-то связано с CSRFToken.
Нужно детально рассматривать запросы через developer tools в браузере и смотреть на каком основании был отклонен запрос. Может, в куках пусто и токен не передаётся и тогда сервер отказывает.
Все приложения/скрипты читают, обновляют и пишут в одну и ту же таблицу?
Используются ли транзакции? Запираются ли записи на время отправки уведомлений?
Из-за какой именно ошибки "умирает php-fpm"?
Безопасность и простое решение - не всегда сочетаемы. Напротив, безопасность, как правило, всё лишь усложняет.
Я бы создал 2 policy: один для работы веб-сайта, а другой - для закачки резервных копий. Тот, у кого root доступ, может работать без ограничений.
Если такой вариант устроит, то могу дать своё решение.
