Implantações que utilizam o transporte HTTP não padrão com autenticação habilitada utilizam incorretamente o valor mais à esquerda do `X-Forwarded-For` fornecido pelo chamador como o endereço do cliente para a limitação de taxa de login. A função `ExtractIPAddress` em `internal/auth/middleware.go` fornece esse valor para as funções `IsAllowed()` e `RecordFailedAttempt()` em `internal/auth/rate limiter.go`. Isso permite que um chamador não autenticado evite o estrangulamento rotacionando endereços ou consuma o limite de tentativas de outro usuário ao assumir o endereço desse usuário. A configuração do nginx publicada facilita esse problema, pois anexa em vez de substituir o cabeçalho `X-Forwarded-For`.