Caddy en reverse proxy sur VPS : guide complet

Pourquoi choisir Caddy comme frontal sur votre VPS ?

Les atouts de Caddy en production

• HTTPS automatique : Let's Encrypt ACME HTTP-01 activé dès qu'un nom de domaine est déclaré — aucun cron, aucun plugin à installer
• Syntaxe concise : un bloc de cinq lignes remplace un vhost Nginx de quarante lignes avec son fichier de configuration Certbot
• Zéro rechargement à froid : caddy reload applique le nouveau Caddyfile sans couper les connexions en cours
• HTTP/2 et HTTP/3 (QUIC) par défaut : activés sans configuration supplémentaire sur toutes les versions 2.x
• API JSON : la configuration est modifiable à chaud via une API REST, utile pour les environnements dynamiques ou conteneurisés
• Image Docker officielle légère : caddy:2-alpine pèse moins de 20 Mo et suffit pour la majorité des cas de production

Prérequis

ss -tlnp | grep -E ':80|:443'

Déployer Caddy en reverse proxy

1. 01

   Méthode 1 — Installation via le dépôt APT officiel

   Caddy propose un dépôt APT signé. Ajoutez-le, puis installez le paquet :

   apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' \
     | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' \
     | tee /etc/apt/sources.list.d/caddy-stable.list
   apt update && apt install caddy

   Vérifiez la version installée : caddy version doit afficher v2.9.x ou supérieur.

2. 02

   Méthode 2 — Déploiement avec Docker Compose

   Si vos applications tournent déjà sous Docker, un service Caddy dans le même compose.yml est l'approche la plus simple. Créez un fichier compose.yml à la racine de votre projet :

   services:
     caddy:
       image: caddy:2-alpine
       restart: unless-stopped
       ports:
         - "80:80"
         - "443:443"
         - "443:443/udp"
       volumes:
         - ./Caddyfile:/etc/caddy/Caddyfile
         - caddy_data:/data
         - caddy_config:/config
       networks:
         - proxy
   
   volumes:
     caddy_data:
     caddy_config:
   
   networks:
     proxy:
       external: true

   Créez le réseau partagé une seule fois : docker network create proxy. Vos autres services rejoignent ce réseau pour être accessibles par Caddy.

3. 03

   Créer le Caddyfile de base

   Le Caddyfile est le fichier de configuration central. Pour une installation APT, il se trouve dans /etc/caddy/Caddyfile. Pour Docker, placez-le à côté de votre compose.yml.

   Voici un exemple minimal qui expose une application sur le port 3000 :

   monapp.com {
       reverse_proxy localhost:3000
   }

   C'est tout. Caddy détecte que monapp.com est un nom de domaine, contacte Let's Encrypt via ACME HTTP-01, obtient un certificat et redirige automatiquement tout le trafic HTTP vers HTTPS. Les certificats sont stockés dans ~/.local/share/caddy/ (APT) ou dans le volume caddy_data (Docker).

4. 04

   Configuration multi-applications (multi-vhost)

   Héberger plusieurs applications sur le même VPS ne demande que des blocs supplémentaires dans le même fichier :

   app1.votredomaine.com {
       reverse_proxy localhost:3000
   }
   
   app2.votredomaine.com {
       reverse_proxy localhost:4000
   }
   
   blog.votredomaine.com {
       reverse_proxy localhost:8080
   }

   Chaque bloc obtient son propre certificat Let's Encrypt. Caddy gère les renouvellements de manière indépendante pour chaque domaine, en parallèle, sans interruption de service.

5. 05

   Appliquer le Caddyfile sans interruption

   Pour APT, rechargez la configuration sans couper les connexions :

   systemctl reload caddy
   # ou, si vous avez modifié le fichier en dehors de /etc/caddy/ :
   caddy reload --config /chemin/vers/Caddyfile

   Pour Docker :

   docker compose exec caddy caddy reload --config /etc/caddy/Caddyfile

   Vérifiez que la syntaxe est correcte avant de recharger : caddy validate --config /etc/caddy/Caddyfile.

6. 06

   Ajouter les en-têtes de sécurité et le rate limiting

   Caddy supporte les en-têtes de sécurité natifs via la directive header. Voici un bloc renforcé pour une application en production :

   monapp.com {
       reverse_proxy localhost:3000
   
       header {
           Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
           X-Content-Type-Options "nosniff"
           X-Frame-Options "SAMEORIGIN"
           Referrer-Policy "strict-origin-when-cross-origin"
           -Server
       }
   
       log {
           output file /var/log/caddy/monapp.log {
               roll_size 10mb
               roll_keep 5
           }
       }
   }

   Pour le rate limiting, le module caddy-ratelimit s'installe via xcaddy build et s'utilise avec la directive rate_limit. La version Docker officielle ne l'inclut pas — construisez votre propre image ou utilisez un pare-feu applicatif en amont si le besoin est critique.

7. 07

   Activer et vérifier le service systemd (APT)

   Après installation via APT, le service est activé automatiquement. Contrôlez son état et les journaux :

   systemctl status caddy
   journalctl -u caddy -f

   Pour que Caddy démarre au reboot : systemctl enable caddy (déjà fait par le paquet). Testez que le certificat Let's Encrypt a bien été émis :

   curl -sv https://monapp.com 2>&1 | grep -E 'subject|issuer|expire'

Comment fonctionne le HTTPS automatique de Caddy

Caddy vs Nginx : quand choisir l'un ou l'autre

Faites défiler le tableau

Dépannage : les erreurs courantes