diff --git a/caddy/Caddyfile b/caddy/Caddyfile
index 34ed6c5..12a0245 100644
--- a/caddy/Caddyfile
+++ b/caddy/Caddyfile
@@ -44,7 +44,9 @@ minio.{$DOMAIN_BASE} {
 # ----- MinIO S3 API público (uploads/downloads do bucket) -----
 media.{$DOMAIN_BASE} {
 	encode gzip
-	reverse_proxy minio:9000 {
-		header_up Host {upstream_hostport}
-	}
+	# NÃO reescrever o Host: as URLs pré-assinadas (SigV4) incluem o header
+	# `host` na assinatura, calculado com `media.{DOMAIN_BASE}`. O Caddy
+	# repassa o Host original por padrão; reescrever pra `minio:9000`
+	# quebraria a assinatura (SignatureDoesNotMatch / 403 no PUT).
+	reverse_proxy minio:9000
 }