Option reverse proxy en frontal : IP réelle des clients (poc_trusted_proxies), exemple Traefik

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

inventory/group_vars/all.yml

@@ -16,6 +16,11 @@ poc_tls: selfsigned
 poc_letsencrypt_email: ""
 poc_letsencrypt_staging: false        # true pour tester sans consommer les quotas Let's Encrypt
 
+# Reverse proxy en frontal (Traefik, HAProxy...) qui termine le TLS public et relaie vers
+# le WAF (https://<waf>:443, certificat auto-signé à accepter côté proxy) : ses IP, pour
+# que BunkerWeb prenne l'IP réelle du client dans X-Forwarded-For (bans, limites, listes).
+poc_trusted_proxies: []               # ex. ["192.168.200.10"]
+
 # --- Exposition publique ------------------------------------------------
 # Sites réservés à certaines IP sources (403 pour les autres, sauf challenge ACME).
 # Le client de test du PoC est toujours autorisé. Liste vide = pas de restriction.

inventory/group_vars/bunkerweb.yml

@@ -28,6 +28,11 @@ bw_global_settings:
   LETS_ENCRYPT_CHALLENGE: "http"
   USE_LETS_ENCRYPT_STAGING: "{{ 'yes' if poc_letsencrypt_staging | bool else 'no' }}"
   AUTO_REDIRECT_HTTP_TO_HTTPS: "yes"
+  # IP réelle du client derrière un reverse proxy (poc_trusted_proxies)
+  USE_REAL_IP: "{{ 'yes' if poc_trusted_proxies | length > 0 else 'no' }}"
+  REAL_IP_FROM: "{{ poc_trusted_proxies | join(' ') if poc_trusted_proxies | length > 0 else '192.168.0.0/16 172.16.0.0/12 10.0.0.0/8' }}"
+  REAL_IP_HEADER: "X-Forwarded-For"
+  REAL_IP_RECURSIVE: "yes"
   # WAF : ModSecurity + OWASP CRS v4 actifs partout (défaut BunkerWeb)
   USE_MODSECURITY: "yes"
   USE_MODSECURITY_CRS: "yes"