Problemas com force https, proxy e convites

Suporte
1

Minha instância do Discourse está atrás de um proxy:

server {
    server_name forum.[...];

    location / {
        proxy_pass http://IP_ADDRESS;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_redirect off;

    }

    client_max_body_size 10m;

    listen 443 ssl; # gerenciado pelo Certbot
    ssl_certificate /etc/letsencrypt/live/forum.[...]/fullchain.pem; # gerenciado pelo Certbot
    ssl_certificate_key /etc/letsencrypt/live/forum.[...]/privkey.pem; # gerenciado pelo Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # gerenciado pelo Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # gerenciado pelo Certbot

}
server {
    if ($host = forum.[...]) {
        return 301 https://$host$request_uri;
    } # gerenciado pelo Certbot

    server_name forum.smbcn.org;

    listen 80;
    return 404; # gerenciado pelo Certbot

}

Isso leva ao servidor onde o Discourse está instalado (instalação padrão do Docker):

server {
        listen 80; listen [::]:80;
        server_name forum.[...];

        client_max_body_size 10m;

        location / {
                proxy_pass http://unix:/var/discourse/shared/standalone/nginx.http.sock:;
                proxy_set_header Host $http_host;
                proxy_http_version 1.1;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header X-Forwarded-Proto $scheme;
                proxy_set_header X-Real-IP $remote_addr;
        }
}

Quando forço o HTTPS, usuários convidados não conseguem prosseguir para o registro. Os logs do navegador mostram um erro 403 (CSRF inválido), mesmo que um token CSRF tenha sido gerado com sucesso. Os convites funcionam perfeitamente quando o HTTPS não é forçado.

Acho que há algo errado na forma como estou proxyando solicitações HTTPS para HTTP, talvez alguns cabeçalhos estejam faltando?

2

Parece que estou realmente perdendo algo. A incapacidade de forçar o HTTPS implica que o logotipo não pode ser exibido (não tão grave no momento). Hoje descobri que também recebo um erro relacionado ao CSRF (

3

Talvez você só precise forçar o HTTPS no seu proxy frontal e desativá-lo no Discourse.

4

@hawm Acredito que esta seja minha configuração atual.

5

Como você está definindo a variável $scheme?

6

Não defino, acho que confio no valor padrão. Isso está errado?

7

Se você estiver usando proxy, isso pode dar errado. Na minha experiência, essa é a principal razão para os problemas que você está descrevendo. Tente definir como “https” em vez disso (talvez apenas ignore a variável e coloque “https” diretamente ali).

8

@michaeld Sim! Você acertou em cheio! Muito obrigado!