Олег Волков

Файл конфигурации ssl /etc/apache2/sites-available/default-ssl.conf
тоже должен содержать магические линии от renderd:

LoadTileConfigFile /usr/local/etc/renderd.conf
ModTileRenderdSocketName /var/run/renderd/renderd.sock
ModTileRequestTimeout 0
ModTileMissingRequestTimeout 30

Директива старая и не используется.
В следующих версиях присутствие этой директивы будет считаться за ошибку

"прокси в настройках виртуального хоста"
Не могут разные процессы слушать один и тот же порт.
Поэтому апачу надо добавить новый виртуалхост и проксипасс на докер:8000.

CGI скрипт сам генерит все хедеры. В хедерах можно прописать 403, а в теле отдать содержимое.
Вариант но 2: переназначить страницу 403 ошибки на индекс.хтмл