Напоминание: читай документацию полностью. https://symfony.com/doc/current/deployment/proxies.html С удивлением обнаружил, что приложение считает всех пользователей одним и тем же ip. А это значит, что все rate limiter'ы у меня "коммунальные" :D ОКАЗЫВАЕТСЯ Symfony не доверяет по-умолчанию ничему. И всякие там X-Forwarded-For просто отбрасываются. Это сделано для защиты от спуфинга. Если у nginx зафиксирован ip - его и добавляем в доверенные. Если нет (в докерах тех же) - добавляем trusted_proxies: '127.0.0.1,REMOTE_ADDR'. Что лично меня огорчило: https://symfony.com/doc/current/setup/web_server_configuration.html вот тут могли бы и сделать перелинковку.