Caddy

Caddy 是一个用 Go 语言编写的现代化 Web 服务器与反向代理,由 Matt Holt 创建并以 Apache 2.0 许可开源。Caddy 最显著的特性是默认自动管理 HTTPS 证书——服务器启动时即可通过 Let's Encrypt 或 ZeroSSL 自动完成 TLS 证书的申请、安装与续期,全程无需手动干预,彻底解决了传统服务器证书管理繁琐易出错的痛点。凭借极简的配置语法和开箱即用的安全默认值,Caddy 在自托管和现代应用部署领域成为越来越受欢迎的 Nginx、Apache 替代方案。

设计理念与发展历史

传统 Web 服务器如 Nginx、Apache 诞生于 HTTPS 尚未普及的年代,配置 TLS 证书需要手动申请证书、将其安装到服务器、编写繁琐的 SSL 配置块,并借助 Certbot 等外部工具设置 cron 任务定期自动续期——任何一个环节配置失误都可能导致证书过期、浏览器安全告警甚至服务访问中断。Caddy 的核心理念是让 HTTPS 成为默认且零配置,把安全最佳实践(HTTPS 强制跳转、HSTS 头、OCSP Stapling、现代 TLS 版本)全部内置化,极大降低了全站加密的门槛,推动了 HTTPS 在个人开发者和小型团队中的快速普及。2015 年首次发布的 Caddy 1 验证了自动 HTTPS 的可行性,2020 年发布的 Caddy 2 进行了彻底架构重构:引入高度模块化设计、JSON 原生配置格式、动态配置 REST API 以及更强大的插件生态系统,成为当前的主流稳定版本,也是社区与官方主要维护的发行线。Caddy 被广泛用于个人博客、初创公司生产环境、自托管服务的反向代理网关及自动化基础设施场景。

自动 HTTPS 工作原理

Caddy 的自动 HTTPS 是其与同类产品最核心的差异化能力,工作机制如下:

• 证书自动申请:Caddy 检测到公开可访问的域名配置后,通过 ACME 协议向 Let's Encrypt 或 ZeroSSL 发起证书申请。支持 HTTP-01(通过临时 HTTP 端点验证域名所有权)和 TLS-ALPN-01(通过 TLS 握手验证)两种自动挑战方式,无需人工操作即可完成域名验证与证书签发全流程。
• DNS-01 挑战:对于无法通过公网 HTTP 访问验证的内网域名,或需要签发通配符泛域名证书的场景,可配置 DNS-01 挑战。Caddy 通过结合 Cloudflare、阿里云 DNS 等提供商的 API 自动创建临时 TXT 记录完成验证,支持数十种主流 DNS 提供商,覆盖国内外常见选项。
• 自动续期:在证书临近到期前主动发起续期请求,整个过程完全在后台无感运行,服务不中断、用户无感知。证书管理功能由内置的 CertMagic 库负责,支持将证书存储到本地文件系统或外部分布式存储(Redis、Consul)以便多节点共享。
• 自动 HTTPS 重定向:Caddy 会自动将 HTTP 请求通过 301 永久重定向至 HTTPS,无需添加任何额外的重定向配置规则,零配置实现全站加密。
• 本地开发证书:对 localhost 等本地域名,Caddy 通过内置本地 CA 生成并自动安装信任的本地自签名证书,使开发环境能够享有与生产环境一致的 HTTPS 体验,便于调试 HTTPS 特定行为与安全头。
• OCSP Stapling 与 HSTS:自动处理 OCSP 证书状态装订以加快 TLS 握手速度并保护用户隐私,并可发送 Strict-Transport-Security 响应头增强安全性。

Caddyfile 配置语法

Caddy 提供两种配置方式:Caddyfile(人性化 DSL)与原生 JSON 配置。Caddyfile 是日常使用中最为简洁直观的选择:

• 站点块以域名开头,花括号内通过指令(directive)声明行为。常用指令包括 reverse_proxy(反向代理)、file_server(静态文件)、root(设置根目录)、encode(响应压缩)、header(响应头管理)、redir(重定向)、basicauth(基础认证)、log(访问日志)等。仅一行域名加一行 reverse_proxy 指令即可获得带自动 HTTPS 的完整反向代理服务,极为简洁高效。
• 支持通配符域名匹配、多域名共用配置块、片段(snippet)定义与 import 复用机制,便于多站点统一管理,有效减少重复配置,提高可维护性与可读性。
• 指令执行顺序由 Caddy 内部优先级规则自动决定,无需像 Nginx 那样手动控制 location 块的匹配顺序与优先级,减少配置歧义与意外行为。
• JSON 配置是 Caddy 的底层原生格式,适合程序化生成与自动化运维;Caddyfile 本质上是 JSON 的高可读性适配层,启动时由 Caddy 自动转换为 JSON 内部表示。

核心功能

• 反向代理:reverse_proxy 指令支持多后端负载均衡(轮询、最少连接、IP 哈希等策略)、主动健康检查、超时控制与被动故障转移,开箱即用无需额外插件。
• 静态文件服务:file_server 指令高效托管静态网站,支持目录浏览、预压缩文件(br/gz)直接服务以节省运行时 CPU 开销,适合纯前端站点部署。
• 现代协议:原生支持 HTTP/2 与基于 QUIC 的 HTTP/3,在弱网与高延迟网络环境下提供更好的传输性能,无需额外配置即可启用。
• 动态配置 API:提供 RESTful Admin API 支持运行时热重载配置,实现零停机变更路由与后端地址,适合持续部署与自动化运维场景。
• 插件扩展:通过 xcaddy 编译时携带社区插件,如 Cloudflare/阿里云 DNS 模块(支持泛域名证书)、JWT 鉴权、速率限制、请求日志增强等,可按需定制专属功能集合的 Caddy 发行版。

部署方式

• 二进制部署:官方提供各平台静态编译二进制,无运行时依赖,下载即可运行;可通过 xcaddy 工具将所需插件模块编译进专属二进制版本,适合需要 DNS 提供商模块的场景。
• Docker 部署:官方镜像易于与 docker-compose 集成;挂载 Caddyfile 与数据目录(存放证书与运行时配置)即可运行,升级与迁移便捷。
• systemd 服务:官方文档提供标准 systemd 单元文件配置示例,结合自动 HTTPS 可实现开机启动并全自动管理证书的生产服务器环境。
• Kubernetes:可作为 Ingress Controller 部署,配合 Caddy 自身的 ACME 能力或结合 cert-manager 管理集群证书,适合中小规模 K8s 部署。

与 Nginx、Traefik 的对比及注意事项

• 对比 Nginx:Caddy 自动化 TLS 全流程无需外部工具,Caddyfile 配置对常见场景极为简洁;Nginx 超高并发调优经验丰富、可调参数细粒度更高,在大型高流量场景中历史验证更充分。
• 对比 Traefik:Traefik 专注动态容器环境的自动服务发现,更适合 Docker/K8s 微服务集群;Caddy 在传统主机部署与静态文件服务场景下配置更直观简洁,学习成本更低。
• 局限与注意事项:自动证书依赖域名公网可达性与 ACME 速率限制,内网域名须配置 DNS-01 挑战;超大流量调优文档与社区经验积累不及 Nginx 丰富;插件模块通常需要用 xcaddy 重新编译而非运行时动态加载,存在一定灵活性限制。总体而言,Caddy 代表了 Web 服务器向安全默认与配置极简方向演进的重要趋势,是现代自托管与小型团队技术选型中值得优先考虑的高质量选项。