diff --git a/.env.example b/.env.example
index 438ecf5..6a0dd9a 100644
--- a/.env.example
+++ b/.env.example
@@ -10,6 +10,7 @@
 DJANGO_DEBUG=1
 DJANGO_SECRET_KEY=
 DJANGO_ALLOWED_HOSTS=localhost,127.0.0.1
+CSRF_TRUSTED_ORIGINS=
 CACHE_URL=
 
 # اختیاری — بدونش OTP واقعی ارسال نمی‌شه (فقط خطای صریح ۵۰۳ برمی‌گرده،
diff --git a/config/settings.py b/config/settings.py
index bc19740..1a4b235 100644
--- a/config/settings.py
+++ b/config/settings.py
@@ -51,6 +51,8 @@ if not SECRET_KEY:
 
 ALLOWED_HOSTS = [h for h in os.environ.get('DJANGO_ALLOWED_HOSTS', '').split(',') if h]
 
+CSRF_TRUSTED_ORIGINS = [o for o in os.environ.get('CSRF_TRUSTED_ORIGINS', '').split(',') if o]
+
 
 # Application definition