Safari puede no enviar «Origin» al iniciar sesión y tu protección te rechaza

Qué pasa

Tu página de acceso protege el formulario comprobando las cabeceras Origin o Referer (una defensa habitual contra peticiones falsificadas). En Safari para iPhone, al enviar el formulario, a veces no llega ninguna de las dos, y la protección rechaza un inicio de sesión legítimo con 403 Invalid origin.

Cómo evitarlo

Si detrás del proxy solo acepta conexiones del proxy que tú controlas, haz que el proxy fije el Origin correcto antes de reenviar:

proxy_set_header Origin https://tu-dominio.es;

No relajes la comprobación para cualquier origen: fíjala solo en el sitio en el que confías. Lo explicamos en Publicar sin abrir puertos.