Как я уже написал - минута в инспекторе.
В инспекторе браузера во вкладке сеть видно все запросы, которые браузер посылает к сайту. Один из запросов так и назывался csrftoken, никаких данных он не передавал, но у всех запросов есть заголовки, в них и оказалась заветная строка.
Это скорее везение, что токен вот так легко нашёлся, обычно найти его труднее.
Если в инспекторе видно, что браузер добавляет к запросам __csrf_token, то логика верна, но нужно смотреть откуда именно подгружается токен, вполне возможно, что его нет в тексте html-страницы.
