用 Caddy 自动申请证书：一段配置搞定 HTTPS

前置条件

开始之前，先确认这些都具备

• 一台已加固的服务器与 sudo 权限
• 一个已解析到该服务器的域名（Caddy 需要它来自动签发证书）
• 80 与 443 端口未被其他服务占用

操作步骤

共 6 步

1. 步骤 01 / 06

   从官方 apt 仓库安装 #

   发行版自带的 Caddy 版本往往偏旧，官方仓库更新更及时。下面是官方文档给出的安装方式：写入签名密钥与源，再正常 apt install。

   sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
   
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' \
     | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
   
   curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' \
     | sudo tee /etc/apt/sources.list.d/caddy-stable.list
   
   sudo apt update && sudo apt install -y caddy
   caddy version

2. 步骤 02 / 06

   确认 80 与 443 没有被占用 #

   Caddy 需要独占这两个端口才能完成自动签发。机器上已经有 Nginx 的话，先停掉它 —— 两个 Web 服务器抢同一个端口，后启动的那个会静默失败或反复重启。

   sudo ss -tlnp | grep -E ':(80|443)\b'
   
   # 若被 Nginx 占用且确定不再使用
   sudo systemctl disable --now nginx

3. 步骤 03 / 06

   写 Caddyfile #

   这就是全部配置：域名、根目录、开启文件服务，证书的申请与续期 Caddy 自己会办。encode 一行同时开启 zstd 与 gzip 压缩。

   # /etc/caddy/Caddyfile
   example.com, www.example.com {
       root * /var/www/example.com/html
       file_server
       encode zstd gzip
   
       header /assets/* Cache-Control "public, max-age=2592000, immutable"
   
       log {
           output file /var/log/caddy/example.com.log
       }
   }

4. 步骤 04 / 06

   格式化、校验、重载 #

   caddy fmt 统一缩进，caddy validate 在重载前检查配置。Caddy 以 caddy 用户运行，站点目录必须对它可读，否则页面会是 403 而日志里只有一行权限错误。

   sudo caddy fmt --overwrite /etc/caddy/Caddyfile
   sudo caddy validate --config /etc/caddy/Caddyfile
   
   sudo chown -R caddy:caddy /var/log/caddy
   sudo systemctl reload caddy
   
   curl -I https://example.com
   journalctl -u caddy -n 50 --no-pager

5. 步骤 05 / 06

   反向代理只要一行 #

   把后端应用放在 127.0.0.1 上，Caddy 负责对外的 TLS 与转发。它默认会带上 X-Forwarded-For 与 X-Forwarded-Proto，WebSocket 也无需额外配置 —— 这是相对 Nginx 最省心的地方。

   api.example.com {
       reverse_proxy 127.0.0.1:3000
   }

6. 步骤 06 / 06

   本地或内网测试用 tls internal #

   公网证书需要一个能被验证的域名。仅在内网或本地调试时，用 tls internal 让 Caddy 签一张本地信任的证书，避免为了测试去污染公网签发的频率配额。

   test.local {
       tls internal
       respond "ok"
   }

相关教程

接下来通常会看这几篇