Forum Programmation.web Url rewrite + dernier weblogic = problème

Bonjour à tous.

D'avance désolé car il y a peu de libre dans ce post, mais on ne choisit pas de quoi on hérite dans le boulot…

Ancienne situation : serveur Weblogic 10 hébergeant une webapp java 6 (accessoirement utilisant apache wicket).
Appel en interne, OK, appel depuis l'extérieur OK via un URL rewrite fait par un IIS.

Maintenant : actualisation du code java, et WL12.2 (le dernier). rien touché coté IIS.

Problème : l'accès en interne fonctionne toujours.
L'accès de l'extérieur fonctionne beaucoup moins : les réponses HTTP 200 passent, les 302 (Moved Temporarily) ne passent pas (mais sont massivement utilisées par wicket).
Le navigateur finit par recevoir des 503 (service unavailable)

Je regarde dans les différents logs :
Logs WL12 : il traite correctement les pages, répond bien par un 302 mais vers l'URL interne
Logs IIS : HTTP 400

J'ai vu que Oracle avait ajouté dans le dernier WebLogic une validation CSRF, j'ai cru que c'était ca, mais la désactivation n'a rien changé.
https://docs.oracle.com/middleware/12213/wls/WBAPP/weblogic_xml.htm#WBAPP-GUID-E3A9B2FC-E098-43B1-ACFF-4A457D6062DE (chercher "referer-validation" )

Quelqu'un aurait-il une idée qui peut m'aider ?

Merci d'avance