Веб-сервер Apache/Tomcat: nmap всегда возвращает, что все http-методы разрешены

Я использую веб-сервер с http-сервером Apache перед сервером Apache Tomcat.

Моя цель: отключить http-методы DELETE а также PUT на веб-сервере.

Согласно OWASP ( https://www.owasp.org/index.php/Test_HTTP_Methods_(OTG-CONFIG-006)) это следует проверить с помощью этой команды:

nmap -p 80 --script http-methods www.example.com

На моем сервере я получаю этот ответ:

PORT   STATE SERVICE
80/tcp open  http
| http-methods:
|   Supported Methods: GET HEAD POST PUT DELETE OPTIONS
|_  Potentially risky methods: PUT DELETE

Согласно http://www.techstacks.com/howto/disable-http-methods-in-tomcat.html я могу отключить PUT и DELETE с помощью этих строк в web.xml

<security-constraint>
     <web-resource-collection>
          <web-resource-name>restricted methods</web-resource-name>
          <url-pattern>/*</url-pattern>
          <http-method>PUT</http-method>
          <http-method>DELETE</http-method>
     </web-resource-collection>
     <auth-constraint />
</security-constraint>

Если я добавлю это, мой ответ по-прежнему Supported Methods: GET HEAD POST PUT DELETE OPTIONS,
Если я дополнительно отключу http-метод OPTIONS с добавлением <http-method>OPTIONS</http-method> на web.xml, тогда я получаю хороший ответ:

80/tcp open  http
| http-methods:
|_  Supported Methods: GET HEAD POST OPTIONS

То же самое происходит, если я пытаюсь отключить те http-методы на веб-сервере Apache, который на самом деле находится перед котом. см.: http://www.techstacks.com/howto/disable-http-methods-in-apache.html

Что я хочу:

• запрещать PUT а также DELETE
• Не отключать OPTIONS
• nmap -p 80 --script http-methods www.example.com должен ответить, что DELETE а также PUT отключены