Правильно ли я защитил сайт?
правильно
ты, главное, идею пойми
а как поймешь - поймешь что csrf лучше ставить JS кодом, уже сложнее для атакующего, ну и прочие навороты
ну и проверка-то правильная
а вот вставил ли ты ее ВО ВСЕ страницы где она нужна?
описанный метод защитой от CSRF не является. Атакующий может с помощью JS послать запрос на ваш сайт, и браузер передаст любые куки автоматически, таким образом CSRF атака успешно состоится. Попробуйте сами. Обычно csrf токен представляет из себя скрытое поле формы, которое генерится каждый раз уникальное, и проверяется на сервере. При таком раскладе атакующий не может знать значения этого поля, и с соответственно атака не пройдёт.