>> а зачем игнорировать эти заголовки ???

Я хочу, чтобы гости видели HTML статику, отдаванемую nginx, даже при нажатии F5 и прочего. Гости вообще не должны доходить до backend, пока они не залогинились, и никаких сессий им отдавать не нужно.

Оно так и работает, кроме того, что раз в 5 минут nginx обновляет кеш и туда может попасть страничка залогиненного пользователя. Указанный Вами конфиг этой проблемы, увы, не решил (всё же спасибо за ответ!).

>> плюс POST запросы по дефолту не кешируются
У меня также прописано
[code]if ($request_method != GET) { return 412; }[/code]