Option reverse proxy en frontal : IP réelle des clients (poc_trusted_proxies), exemple Traefik

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

inventory/group_vars/all.yml

@@ -16,6 +16,11 @@ poc_tls: selfsigned
 poc_letsencrypt_email: ""
 poc_letsencrypt_staging: false        # true pour tester sans consommer les quotas Let's Encrypt
 
+# Reverse proxy en frontal (Traefik, HAProxy...) qui termine le TLS public et relaie vers
+# le WAF (https://<waf>:443, certificat auto-signé à accepter côté proxy) : ses IP, pour
+# que BunkerWeb prenne l'IP réelle du client dans X-Forwarded-For (bans, limites, listes).
+poc_trusted_proxies: []               # ex. ["192.168.200.10"]
+
 # --- Exposition publique ------------------------------------------------
 # Sites réservés à certaines IP sources (403 pour les autres, sauf challenge ACME).
 # Le client de test du PoC est toujours autorisé. Liste vide = pas de restriction.