Il sito è accessibile all'indirizzo IP se non si segue la guida di installazione

Giusto. Non ho affermato che si trattasse di “installazioni vanilla”.

Quindi ho testato la rimozione del template ufficiale di Cloudflare su una di esse e poi la ricostruzione; purtroppo non ha fatto alcuna differenza. Rimane ancora accessibile in modo non sicuro tramite IP.

Non riesco davvero a pensare a nulla di insolito tra quelle installazioni. Gli unici plugin su quell’istanza erano il gestore Docker incluso di default e il plugin ufficiale per gli annunci. Si trova sul ramo stable, ma anche gli altri siti che presentano lo stesso comportamento sono su una combinazione di stable, beta e tests-passed.