Como sugerido por Bruno e Bart, verifiquei os cabeçalhos e descobri que eles estavam sendo enviados corretamente pelo servidor. Em seguida, limpei o cache e outros dados de navegação, reiniciei e, em seguida, a segurança do diretório funcionou corretamente.
Algo em algum lugar estava armazenando em cache as informações de login.