docs: record the staged fix and post-fix evidence

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/evidence/two-hop-proxy-headers/README.md

@@ -118,3 +118,49 @@ curl -s http://192.168.122.11/api/echo \
   -H 'X-Forwarded-Proto: https' -H 'X-Forwarded-Port: 443' \
   -H 'X-Forwarded-For: 203.0.113.7' | python3 -m json.tool
 ```
+
+---
+
+## 수정 후 (2026-09-03 15:32 KST)
+
+세 스위치를 순서대로 켜며 각 단계를 측정했다. 상세 절차는
+`docs/two-hop-proxy-header-contract.md` 9~11절.
+
+| 파일 | 단계 |
+|---|---|
+| `stage-a-nginx-fixed.png` | A — nginx 만 고침 |
+| `stage-b-traefik-trusts.png` | B — Traefik `trustedIPs` 추가 |
+| `stage-c-resolved.png` | C — 앱 `strategy=native` |
+| `04-after-fix.txt` | 최종 측정 · 위조 테스트 · 분배 |
+
+스크린샷은 브라우저가 `/api/echo` 응답을 렌더링한 **실제 화면**이다.
+
+### 단계별 결과
+
+| 항목 | 최초 | A | B | C |
+|---|---|---|---|---|
+| `x-forwarded-proto` | `http` | **`http`** | `https` | `https` |
+| `x-real-ip` | `10.42.1.0` | `10.42.1.0` | `100.123.124.30` | `100.123.124.30` |
+| `scheme` (앱 해석) | `http` | `http` | **`http`** | **`https`** |
+| `requestUrl` | `http://…` | `http://…` | `http://…` | **`https://…`** |
+
+**A 이후 아무 변화가 없는 것**이 Traefik 덮어쓰기의 증거이고,
+**B 이후 헤더는 살아났으나 앱 해석은 그대로인 것**이 2번과 3번 스위치가
+다른 일을 한다는 증거다.
+
+### 위조 차단 재확인
+
+`04-after-fix.txt` [5]. 클라이언트가 `X-Forwarded-Proto: http`,
+`X-Forwarded-Host: evil.example.com`, `X-Forwarded-For: 1.2.3.4`를 주입했으나
+**하나도 반영되지 않았다.**
+
+**방어 주체가 바뀌었다.** 수정 전에는 Traefik이 전부 덮어써서 막았고,
+수정 후에는 nginx의 `$remote_addr`가 막는다. 그래서 nginx에서
+`$proxy_add_x_forwarded_for`(덧붙이기)로 바꾸면 안 된다.
+
+### 겪은 함정
+
+`kubectl rollout status`가 완료를 알려도 **helm-controller의 Job이 차트를
+업그레이드하는 동안 구 Traefik 파드가 함께 살아 있다.** 이 시점에 측정하면
+옛 파드가 응답해 "고쳤는데 안 바뀌었다"고 오해하게 된다. `x-forwarded-server`
+값의 파드 이름으로 어느 파드가 응답했는지 확인해야 한다.