Probabilmente HTTP:Authorization (dove stava il token) non veniva passata dal proxy all'upstream, mentre HTTP_AUTHORIZATION si.
Quindi ti hanno fatto copiare il valore di HTTP:Authorization in HTTP_AUTHORIZATION.