Est-ce toujours les mêmes utilisateurs ? Tentent-ils d’utiliser l’API ?
Si ce n’est pas le cas, vérifiez les profils de certains utilisateurs concernés : leurs adresses IP semblent-elles correctes ? Sont-elles toutes identiques ou similaires ? Si oui, il s’agit soit d’un proxy inverse mal configuré, soit de l’utilisation de Cloudflare avec l’icône orange activée sans le modèle spécifié dans le fichier YML.