diff --git a/aero/roles/sarex_stack/defaults/main.yml b/aero/roles/sarex_stack/defaults/main.yml
index d6ff5b1..f5464f4 100644
--- a/aero/roles/sarex_stack/defaults/main.yml
+++ b/aero/roles/sarex_stack/defaults/main.yml
@@ -172,14 +172,21 @@ sarex_reload_workloads:
   - namespace: django
     deployment: frontend
     why: nginx-configmap
-  # celery монтирует django-configmap (настройки production.py). У backend та
-  # же зависимость, но он перекатывается сам: его envs правятся в оверлее, а
-  # значит меняется шаблон пода. У celery envs не менялись — шаблон прежний, и
-  # Kubernetes причин пересоздавать под не видит. Итог: backend уже работает с
-  # новым доменом, а celery держал бы старый и строил ссылки на чужой контур.
+  # celery монтирует django-configmap (настройки production.py). Шаблон пода
+  # от правки ConfigMap не меняется, Kubernetes причин пересоздавать под не
+  # видит, и worker продолжает работать со старым production.py.
   - namespace: django
     deployment: celery
     why: django-configmap
+  # backend монтирует тот же django-configmap. Раньше его здесь не было — с
+  # оговоркой "перекатывается сам, потому что его envs правятся в оверлее".
+  # Оговорка верна лишь для правок, задевающих шаблон пода; замена одних
+  # только данных ConfigMap его не трогает, и под остаётся на старых
+  # настройках. На CsrfExemptSessionAuthentication это вылезло бы прямо:
+  # правка доехала до кластера, а 403 никуда не делся.
+  - namespace: django
+    deployment: backend
+    why: django-configmap
 
 # --- GitOps-подложка контура (k3s + gitea + vault + flux) -------------------
 # Параметры gitea и Flux. Попадают в .env (их читает docker-compose) — менять