Caddy, Traefik o Nginx Proxy Manager: ¿cuál elegir?

Por defecto, cada contenedor Docker escucha en un puerto arbitrario: su Nextcloud está en el puerto 8080, su Gitea en el 3000, su Vaultwarden en el 8200. Es imposible exponer directamente una decena de puertos en producción: los navegadores no aceptan URL con número de puerto, los certificados TLS cubren nombres de dominio y no puertos, y su cortafuegos debe permanecer cerrado en todo salvo el 80 y el 443. El reverse proxy resuelve estos tres problemas de una sola vez: se convierte en el único punto de entrada público, enruta el tráfico según el nombre de host o la ruta, y se encarga de la terminación TLS. Resultado: app1.su-dominio.com y app2.su-dominio.com apuntan ambas al puerto 443 de su VPS, y el proxy sabe hacia qué contenedor enviar cada petición. Sin este mecanismo, se vería obligado a gestionar manualmente los certificados Let's Encrypt, a abrir múltiples puertos y a complicar considerablemente su cortafuegos.

Antes de elegir e instalar uno de estos tres proxies, asegúrese de que su VPS cumple algunas condiciones básicas. Docker y Docker Compose deben estar instalados (se recomienda Compose V2, es decir el comando docker compose sin guion). Sus registros DNS deben apuntar a la IP pública de su VPS antes de lanzar la solicitud de certificado: Let's Encrypt comprueba el DNS durante la validación HTTP-01, y un error en esta fase puede provocar un rate limit que bloquee sus intentos durante varias horas. Los puertos 80 y 443 de su VPS deben estar libres: compruebe con ss -tlnp | grep -E ':80|:443' que ningún otro servicio los ocupa ya. Por último, cree una red Docker dedicada para su proxy — docker network create proxy — que conectará a cada contenedor que el proxy deba alcanzar.

Caddy se ha impuesto como la opción más sencilla para los desarrolladores que alojan entre dos y diez aplicaciones en un VPS. Su filosofía es radical: el TLS se activa por defecto para cualquier dominio válido, sin ninguna opción que marcar ni variable que definir. El archivo de configuración Caddyfile es deliberadamente legible, cercano al lenguaje natural, y puede caber en una decena de líneas para un caso de uso corriente. Caddy está escrito en Go e incorpora su propio cliente ACME: contacta directamente con Let's Encrypt, almacena los certificados en su directorio de datos y los renueva automáticamente antes de que caduquen. A diferencia de Nginx, que necesita certbot como servicio aparte, Caddy no tiene ninguna dependencia externa para el TLS. Su consumo de memoria se mantiene en torno a 30 MB en reposo, lo que lo hace perfectamente adecuado para los VPS de gama de entrada con 1 o 2 GB de RAM. El único defecto real de Caddy: el descubrimiento automático de los contenedores Docker no es nativo. Para remediarlo se usa el plugin caddy-docker-proxy o una configuración estática en el Caddyfile.

Traefik destaca en los contextos donde el número de servicios cambia con frecuencia: entornos de CI/CD que crean y destruyen contenedores en cada despliegue, arquitecturas de microservicios con más de cinco servicios independientes, o equipos en los que cada desarrollador despliega sus propios stacks sin tocar una configuración centralizada. Su mecanismo de descubrimiento automático mediante labels de Docker es su principal baza: cuando arranca un contenedor con los labels correctos (traefik.http.routers.miapp.rule=Host('app.su-dominio.com')), Traefik lo detecta al instante y crea la ruta sin que usted tenga que tocar su configuración. Traefik incluye además un dashboard web que muestra en tiempo real todos los routers, servicios y middlewares activos. En cambio, la curva de aprendizaje es más pronunciada: los middlewares, los entrypoints y la sintaxis de los labels pueden desorientar a los principiantes, y una errata en un label puede dejar una aplicación inaccesible de forma silenciosa.

Nginx Proxy Manager (NPM) es la elección evidente para quien no se siente cómodo con los archivos de configuración en línea de comandos. Su interfaz web permite crear un host proxy en unos pocos clics: basta con introducir el nombre de dominio y la dirección del contenedor de destino, marcar «Force SSL» y «HTTP/2 Support» y hacer clic en «Save». NPM se encarga del resto, incluida la solicitud del certificado Let's Encrypt. La interfaz permite además gestionar varios usuarios con permisos distintos, añadir listas de control de acceso y configurar redirecciones. En cambio, NPM incorpora una base de datos MariaDB para almacenar su configuración, lo que eleva su consumo de memoria hasta unos 100 MB, casi el triple que Caddy. NPM encaja perfectamente en equipos mixtos técnicos/no técnicos o en contextos donde otras personas además del sysadmin principal deben gestionar dominios.

La mayoría de los problemas que aparecen pertenece a cuatro categorías. En primer lugar, los rate limits de Let's Encrypt: si relanza su stack varias veces durante las pruebas con el mismo dominio, puede agotar el límite de cinco certificados por dominio cada siete días. Solución: utilice el entorno de staging de Let's Encrypt (acme_ca https://acme-staging-v02.api.letsencrypt.org/directory en Caddy) para sus pruebas. En segundo lugar, los conflictos de puertos: si el puerto 80 o el 443 ya está ocupado por el Apache o el Nginx del host, el proxy Docker no arrancará. Identifique el proceso con ss -tlnp | grep :80. En tercer lugar, los errores de red de Docker: compruebe que el proxy y el contenedor de destino están en la misma red con docker network inspect proxy. En cuarto lugar, en el caso de Traefik, las erratas en los labels: active los registros en modo DEBUG con --log.level=DEBUG.

Para la gran mayoría de los self-hosters que gestionan unas pocas aplicaciones Docker en un VPS, Caddy es el punto de partida ideal: es sencillo, ligero, opinionado en el buen sentido y gestiona el TLS mejor que cualquier alternativa, sin configuración adicional. Si su infraestructura crece más allá de cinco servicios con despliegues frecuentes y automatizados, Traefik resulta más adecuado gracias a su descubrimiento dinámico. Si tiene que delegar la gestión de los dominios en personas no técnicas, Nginx Proxy Manager es la única opción realmente accesible.