Caddy como reverse proxy en VPS: guía completa

¿Por qué elegir Caddy como reverse proxy en tu VPS?

Lo que Caddy aporta en producción

• HTTPS automático: Let's Encrypt ACME HTTP-01 activado en cuanto se declara un nombre de dominio — sin cron, sin plugin que instalar
• Sintaxis concisa: un bloque de cinco líneas reemplaza un vhost de Nginx de cuarenta líneas con su archivo de configuración de Certbot
• Recarga sin corte: caddy reload aplica el nuevo Caddyfile sin interrumpir las conexiones en curso
• HTTP/2 y HTTP/3 (QUIC) por defecto: activados sin configuración adicional en todas las versiones 2.x
• JSON API: la configuración puede modificarse en caliente vía REST API, útil para entornos dinámicos o en contenedores
• Imagen Docker oficial ligera: caddy:2-alpine pesa menos de 20 MB y cubre la mayoría de los casos de producción

Requisitos previos

ss -tlnp | grep -E ':80|:443'

Desplegar Caddy como reverse proxy

1. 01

   Método 1 — Instalación desde el repositorio APT oficial

   Caddy ofrece un repositorio APT firmado. Añádelo e instala el paquete:

   apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' \
     | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' \
     | tee /etc/apt/sources.list.d/caddy-stable.list
   apt update && apt install caddy

   Verifica la versión instalada: caddy version debe mostrar v2.9.x o superior.

2. 02

   Método 2 — Despliegue con Docker Compose

   Si tus aplicaciones ya corren con Docker, añadir un servicio Caddy al mismo compose.yml es el enfoque más sencillo. Crea un archivo compose.yml en la raíz de tu proyecto:

   services:
     caddy:
       image: caddy:2-alpine
       restart: unless-stopped
       ports:
         - "80:80"
         - "443:443"
         - "443:443/udp"
       volumes:
         - ./Caddyfile:/etc/caddy/Caddyfile
         - caddy_data:/data
         - caddy_config:/config
       networks:
         - proxy
   
   volumes:
     caddy_data:
     caddy_config:
   
   networks:
     proxy:
       external: true

   Crea la red compartida una sola vez: docker network create proxy. Tus otros servicios se unen a esta red para ser accesibles por Caddy.

3. 03

   Crear el Caddyfile básico

   El Caddyfile es el archivo de configuración central. Para una instalación APT se encuentra en /etc/caddy/Caddyfile. Para Docker, colócalo junto a tu compose.yml.

   Ejemplo mínimo que expone una aplicación en el puerto 3000:

   myapp.com {
       reverse_proxy localhost:3000
   }

   Eso es todo. Caddy detecta que myapp.com es un nombre de dominio, contacta con Let's Encrypt vía ACME HTTP-01, obtiene un certificado y redirige automáticamente todo el tráfico HTTP a HTTPS. Los certificados se almacenan en ~/.local/share/caddy/ (APT) o en el volumen caddy_data (Docker).

4. 04

   Configuración multi-aplicación (multi-vhost)

   Alojar varias aplicaciones en el mismo VPS solo requiere bloques adicionales en el mismo archivo:

   app1.tudominio.com {
       reverse_proxy localhost:3000
   }
   
   app2.tudominio.com {
       reverse_proxy localhost:4000
   }
   
   blog.tudominio.com {
       reverse_proxy localhost:8080
   }

   Cada bloque obtiene su propio certificado de Let's Encrypt. Caddy gestiona las renovaciones de forma independiente para cada dominio, en paralelo, sin interrupción de servicio.

5. 05

   Aplicar el Caddyfile sin interrupción

   Para APT, recarga la configuración sin cortar conexiones:

   systemctl reload caddy
   # o si modificaste el archivo fuera de /etc/caddy/:
   caddy reload --config /ruta/al/Caddyfile

   Para Docker:

   docker compose exec caddy caddy reload --config /etc/caddy/Caddyfile

   Verifica que la sintaxis es correcta antes de recargar: caddy validate --config /etc/caddy/Caddyfile.

6. 06

   Añadir cabeceras de seguridad y rate limiting

   Caddy soporta cabeceras de seguridad nativas mediante la directiva header. Aquí hay un bloque reforzado para una aplicación en producción:

   myapp.com {
       reverse_proxy localhost:3000
   
       header {
           Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
           X-Content-Type-Options "nosniff"
           X-Frame-Options "SAMEORIGIN"
           Referrer-Policy "strict-origin-when-cross-origin"
           -Server
       }
   
       log {
           output file /var/log/caddy/myapp.log {
               roll_size 10mb
               roll_keep 5
           }
       }
   }

   Para el rate limiting, el módulo caddy-ratelimit se instala con xcaddy build y se usa con la directiva rate_limit. La imagen oficial de Docker no lo incluye — construye tu propia imagen o usa un firewall de aplicaciones en capa superior si la necesidad es crítica.

7. 07

   Activar y verificar el servicio systemd (APT)

   Tras la instalación con APT, el servicio se activa automáticamente. Controla su estado y los registros:

   systemctl status caddy
   journalctl -u caddy -f

   Para que Caddy arranque en cada reinicio: systemctl enable caddy (ya hecho por el paquete). Comprueba que el certificado de Let's Encrypt se emitió correctamente:

   curl -sv https://myapp.com 2>&1 | grep -E 'subject|issuer|expire'

Cómo funciona el HTTPS automático de Caddy

Caddy vs Nginx: cuándo elegir uno u otro

Desplace la tabla

Solución de problemas: errores comunes