Не получается полностью исключить некоторые параметры из урл

А если так? (для отсекателя, разумеется)

server {
    listen 49.12.65.157:443 ssl default_server;
    server_name _;
    return 403;
}

результат

Удалил вовсе первый блок server, можем увидеть результат как выше кидал, т.е. первый блок никак не повлиял.

Дальше либо сами (гугл + эксперименты), либо в job за денежку. Что вспомнил - подсказал. Далее все зависит от вашей полной конфигурации (вдруг еще есть конфиги) или же вы что-то не так делает (бывает). А тут все превращается в угадывание.

Ну либо кто-то еще что подскажет.

Спасибо вам на этом. Вы верно подсказали, что нужно правильный ИП прописать в настройках сервиса.

Немного поковырял, то все вышло :) Через условия, вот только насколько это допустимо, пока не знаю.

server {
    listen 443 ssl;
    server_name spexfy.xyz;
    
    if ($http_host ~* "^www\.(.+)$") {
    	return 444;
    }
    
    if ($host !~* "^spexfy\.xyz$") {
    	return 444;
    }
    
    location / {
    	proxy_pass http://127.0.0.1:9001/;
    }
    
    ssl_certificate /home/spexfy/ssl.combined;
    ssl_certificate_key /home/spexfy/ssl.key;
}

Результат

Спасибо еще раз!

П.С. Нужно ли закрывать 9001 порт в ИП таблицах или фаерволе?

Не за что)

П.С. Нужно ли закрывать 9001 порт в ИП таблицах или фаерволе?

Так как он висит на локалхосте, то особой надобности в этом я не вижу. Тем более, что он недоступен:

PORT      STATE SERVICE
25/tcp    open  smtp
53/tcp    open  domain
110/tcp   open  pop3
143/tcp   open  imap
443/tcp   open  https
465/tcp   open  smtps
587/tcp   open  submission
993/tcp   open  imaps
995/tcp   open  pop3s
10000/tcp open  snet-sensor-mgmt

Мне кажется, если есть правило

    if ($host !~* "^spexfy\.xyz$") {
    	return 444;
    }

    if ($http_host ~* "^www\.(.+)$") {
    	return 444;
    }

уже не нужно. Но могу ошибаться.

уже не нужно

вы правы, удали этот кусок, ничего не изменилось, спасибо