Котик Антон

Вы этим ни от кого не защититесь. Злоумышленник тоже может отправить XHR.

Negative operators “!~” and “!~*” are also available.

nginx.org/en/docs/http/ngx_http_rewrite_module.html#if

Замените ~* на !~*

У коллег случайно Avast не стоит? Была такая проблема. Решилось отключение сканирования HTTPS в настройках веб-экрана.
https://forum.avast.com/index.php?topic=174202.0

help.ubuntu.ru/wiki/nginx-phpfpm

1. Настройки OpenServer > Домены
2. Управление доменами > Ручное управление
3. Указываете имя домена и папку, где лежит index.php
4. Жмёте [Добавить]