Ограничение доступа к ресурсу с по django-cors-headers

всем привет

помогите разобраться
гуглю и ниче не помогает

есть проект с drf
установил django-cors-headers
добавил в INSTALLED_APPS
добавил MIDDLEWARE слой для corsheaders первым в списке слоев в файле настроек проекта
все как в документации пакета

проект задеплоил на vps

теперь, так как это пока что не продакшин версия, решил ограничить доступ к прилажухе и добавил:

CORS_ORIGIN_ALLOW_ALL = False
CORS_ORIGIN_WHITELIST = ( 'http://localhost:7000', '185.96.177.197', '109.185.141.96', )

'185.96.177.197' - домашний
'109.185.141.96' - офисный

и обнаружил что я могу достучатся до апи проэкта с любого места, а ведь я указал явно откуда можно

погуглил ... ниче путного не нашел

как ограничить доступ, подскажите пожалуйста