Нууу, вариантов много может быть, надо логи смотреть, в какой контроллер идет запрос, в контроллере смотреть код, может там по какой то логике возвращается 403
Мб в роутах есть constraitnts, по саб домену например, правда я не помню возвращается ли в таком случае 403
Может в конфиге puma что то не так
Или может кто то по приколу в ApplicationController написал что то из серии before_action ->{ head 403})))))