DevMan

они не хранятся в куках, а уникальны либо для страницы в целом, либо для конкретной формы.

если где-то они в куках - это свидетельствует об оленях.

зачем его писать в куки, если он должен быть уникальным на каждый запрос?

очевидно, использовать csrf-токен.