Certo. Eu não afirmei que eram “instalações vanilla”.
Então, testei remover o modelo oficial do Cloudflare em um deles e depois recriar. Infelizmente, não fez diferença. Ainda é acessível de forma insegura via IP.
Não consigo pensar em nada fora do comum entre essas instalações. Os únicos plugins naquela instância eram o gerenciador de Docker incluído por padrão e o plugin oficial de anúncios. Está na branch estável, mas os outros sites que se comportam da mesma forma estão em uma mistura de estável, beta e testes aprovados.