Finalmente encontrei a solução. O cabeçalho X-Forwarded-Proto deve ser definido; ele é usado para identificar o protocolo (HTTP ou HTTPS) que o cliente usou para se conectar ao seu proxy ou balanceador de carga.
Como utilizo o HAProxy como servidor proxy, precisei adicionar esta linha à minha configuração do HAProxy:
http-request set-header X-Forwarded-Proto https if { ssl_fc }
Agora o login funciona corretamente, mesmo com a opção “forçar HTTPS” ativada.