Если “secure”:1 не стоит - это http размещение, и шанс на подделку IP тупой подстановкой заголовка выше.
Пообщался с админами, они не видят связи https и X-Forwarded-For. Игорь, можете разжевать? Ну что я понимаю - если нет X-Forwarded-For - то скорее всего нет цепочки проксей или балансеры в этой цепочке просто не пробрасывают этот хедер или вырезают его.