есть 2 сайта однотипной конфигурации, на которые прицеплена HTTP basic аутентификация

server {
server_name something;
location / {
auth_basic "under construction";
auth_basic_user_file /home/someone/.htpasswd;
root /home/someone/www;
}
...
}

но при запросах к дефолтному хосту (/etc/nginx/sites-enabled/default) всё равно требует, хотя по идее не должно бы...
опытным путём удалось выяснить, что при этом используется конфигурация аутентификации от последнего по порядку хоста (среди всех конфигов, находящихся в /etc/nginx/sites-enabled)