O Discourse não envia o cabeçalho default-src 'self' na sua captura de tela. Portanto, é muito provável que ele esteja sendo introduzido pela sua configuração de proxy NGINX. Você pode compartilhá-la? (certificando-se de remover qualquer conteúdo sensível)