Вебсервери
Caddy: веб-сервер, який налаштовує HTTPS за замовчуванням
Caddy — це сучасний веб-сервер і зворотний проксі-сервер, заголовок якого — автоматичний TLS: видача та оновлення ACME працює з коробки через розумні параметри за замовчуванням, а граматика Caddyfile зберігає конфігурацію достатньо короткою для читання. За заголовком ховається потужний механізм (HTTP/3, зворотне проксі-сервер, динамічні висхідні потоки), який змінює глибину екосистеми на правильну автоматизацію.
Головне
- Автоматичний HTTPS є його ідентифікацією: сертифікати запитуються, поновлюються та навіть зберігаються автоматично через Let's Encrypt (або ZeroSSL, або внутрішній центр сертифікації для непублічних імен, або видачу на вимогу для панелей шаблонів підстановки); робочий клас відключень навколо закінчення терміну дії сертифіката фактично зникає, коли це працює.
- Caddyfile — це історія продуктивності: зворотний блок проксі плюс адреса сайту — робоча конфігурація; складніша конфігурація JSON існує для програмних потреб, але команди, які залишаються на території Caddyfile (більшість зворотних проксі-серверів і статичних робочих навантажень), вважають, що обслуговування не вистачає.
- Охоплення функцій для сучасного обслуговування: HTTP/3 за замовчуванням, TLS 1.3 пряме секретування, brotli/gzip, маніпуляції заголовками, збіги маршрутів, схожі на проміжне програмне забезпечення, збірки плагінів через xcaddy для нішевих додаткових функцій; двигун невеликий за наміром і спирається на зовнішню надійність, а не на комплектування всього.
- Зворотне проксі включає чесний тайм-аут/буферизацію, подібну до nginx, а також повторні спроби; складне формування трафіку (обмеження швидкості для кожного домену, проміжне програмне забезпечення автентифікації через плагін) можливе, але екосистема не наближається до модулів класу Apache, тому поєднуйте з WAF/граничним рівнем, де потрібно.
- Операційна дисципліна: перевірка caddy перед перезавантаженням (ті самі нудні правила, що й nginx), структуровані журнали JSON за замовчуванням (чудово підходить для конвеєрів SIEM) і API адміністратора для програмного керування; моніторинг все ще стежить за віком сертифіката та станом здоров'я.
- Форма рішення в наших порівняннях веб-серверів: Caddy для самокерованих сертифікатів/автоматизації та серверного обслуговування внутрішніх служб і невеликих парків; nginx для інтенсивного налаштування екосистеми або htaccess-вільної, але глибоко налаштованої периферійної роботи; Apache, де керують .htaccess і застарілі модулі; Кедді зазвичай виграє місце «маленька команда, розумні невиконання зобов’язань, відсутність штрафів за сертифікат о 3:00».
Польова нотатка
Найменший виробничий стек, який нам подобається: п’ятидоларовий VPS, Caddy та два сервіси за одним 12-рядковим Caddyfile. Сертифікати поновлювалися протягом трьох років, поки хост не був виведений з експлуатації; оперативний контакт клієнта жодного разу не входив у систему. Ось як виглядає автоматизація, зроблена для вас.
Часті запитання
Що мені використовувати для невеликого VPS: Caddy, nginx чи Apache?
Caddy для роботи за замовчуванням (автоматичний TLS, коротка конфігурація), nginx, якщо вам потрібна максимальна поверхня проксі та глибина документації, Apache, лише якщо модулі класу htaccess і поведінка спільного хостингу важливі; всі три безпечні та обслуговуються.
Чи є TLS на вимогу ризикованим?
Ним можна зловживати (перелив сертифікатів на імена, які вам не належать); Caddy пом'якшує за допомогою запитів/списків дозволених гаків і обмежень тарифів, видачі на вимогу з цими охоронцями на місці; вимкніть функцію, якщо вона вам не потрібна.
Чи замінює Caddy повний шар WAF?
Ні: Caddy правильно проксі-сервер і захищає TLS, але не є WAF; тримайте modsecurity/coraza або крайовий WAF на передньому плані, коли фільтрація рівня програми має значення.
За якою робочою поверхнею слід спостерігати?
Справність видачі сертифіката (сповіщення про термін дії сертифіката), стан вихідного підключення та журнали помилок; в іншому випадку файл Caddyfile досить короткий для перегляду під час перевірки коду, що саме по собі є перевагою безпеки.
Допомога Kinetikatech: вебсервери
Ми бралися за це сотні разів: Налаштування, оптимізація й безпека вебсерверів у виробничих і тестових середовищах. Служба Оптимізація швидкості сайтів та Адміністрування серверів дає замкнений цикл: ми оцінюємо, впроваджуємо, цілодобово стежимо й підхоплюємо за 30 хвилин, коли це критично.