Este tópico se desviou da pergunta original sobre executar o Discourse no Apache (em vez de usar um proxy de retorno ao Nginx).
No entanto, acho que uma discussão sobre colocar um WAF (mod_security ou outro) antes do Discourse é útil para a comunidade, então criei um tópico distinto para discutir especificamente Discourse + WAF aqui: