diff --git a/app/templates/admin/acces.php b/app/templates/admin/acces.php
index 7403a64..3123722 100644
--- a/app/templates/admin/acces.php
+++ b/app/templates/admin/acces.php
@@ -338,6 +338,7 @@
                            hx-target="#restrictions-response"
                            hx-swap="innerHTML"
                            hx-include="#fieldset-restrictions">
+                    <input type="hidden" name="csrf_token" value="<?= htmlspecialchars($_SESSION['csrf_token']) ?>">
                     <input type="hidden" name="section" value="formulaire_restrictions">
                     <strong>Activer la restriction d'accès</strong><br>
                     <small style="max-width:42ch;">Pour les TFE de type "Interne", masquer les fichiers et exiger une demande d'accès par email. Les métadonnées et résumés restent publics.</small>