Caddy vs Nginx в 2026: автоматический HTTPS и простая конфигурация

Агентство «ВебФронт» — 47 клиентских сайтов на одном сервере с Nginx. Сертификаты Let's Encrypt через certbot. Инциденты за полгода:

• 3 раза: certbot не смог обновить сертификат (порт 80 был занят, директория .well-known не существовала)
• 2 раза: wildcard-сертификат не обновился (DNS challenge через API Cloudflare — токен протух)
• 1 раз: инженер забыл добавить certbot для нового домена. Клиент обнаружил через 2 недели

Caddy — веб-сервер, созданный с идеей: HTTPS должен работать по умолчанию, без конфигурации. Написан на Go, один бинарник, автоматические сертификаты для любого домена.

Установка Caddy на Debian/Ubuntu:

apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | \
  gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | \
  tee /etc/apt/sources.list.d/caddy-stable.list
apt update && apt install caddy

Caddyfile для reverse proxy с автоматическим HTTPS:

# /etc/caddy/Caddyfile

# Сайт 1 — статика
example.com {
    root * /var/www/example
    file_server
    encode gzip zstd
}

# Сайт 2 — reverse proxy к Node.js
api.example.com {
    reverse_proxy localhost:3000 {
        health_uri /health
        health_interval 10s
    }
}

# Сайт 3 — PHP (WordPress)
blog.example.com {
    root * /var/www/wordpress
    php_fastcgi unix//run/php/php8.3-fpm.sock
    file_server
    encode gzip
}

# Сайт 4 — балансировка между серверами
app.example.com {
    reverse_proxy 10.0.1.10:8080 10.0.1.11:8080 {
        lb_policy round_robin
        health_uri /healthz
        fail_duration 30s
    }
}

Это вся конфигурация. Caddy автоматически:

• Получит TLS-сертификаты Let's Encrypt для всех четырёх доменов
• Настроит HTTP→HTTPS редирект
• Включит OCSP stapling
• Обновит сертификаты за 30 дней до истечения
• Включит HTTP/2 и HTTP/3

Тот же функционал на Nginx для одного домена api.example.com:

# /etc/nginx/sites-available/api.example.com
server {
    listen 80;
    server_name api.example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name api.example.com;

    ssl_certificate /etc/letsencrypt/live/api.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/api.example.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_stapling on;
    ssl_stapling_verify on;

    add_header Strict-Transport-Security "max-age=63072000" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

# + certbot install/cron
# + ssl_dhparam generation
# + nginx -t && systemctl reload nginx

На Caddy то же самое — 4 строки. Умножьте на 47 сайтов и разница становится критической.

Бенчмарки на сервере: 8 CPU Xeon, 32 GB RAM, Debian 12. Тест: wrk -t8 -c256 -d30s, статический файл 1KB.

Вывод: Nginx на 5-11% быстрее и в 3-4 раза экономнее по памяти. Но для 99% сайтов разница в 5% RPS незаметна. Для «ВебФронт» с 47 сайтами и суммарным трафиком 2000 RPS производительность не была проблемой — проблемой были сертификаты.

Nginx — если вам нужна максимальная производительность, fine-tuning, специфичные модули (Lua, njs). Caddy — если нужен простой, надёжный reverse proxy с автоматическим HTTPS.

План миграции 47 сайтов:

1. Установить Caddy рядом с Nginx (на порту 8443 для теста)
2. Конвертировать nginx.conf → Caddyfile (скрипт на Python)
3. Тестировать через /etc/hosts на локальной машине
4. Переключить DNS (или остановить Nginx, запустить Caddy на 443)

# Конвертация: простой скрипт для типовых конфигов
# nginx: proxy_pass http://127.0.0.1:3000;
# caddy: reverse_proxy localhost:3000

# Итоговый Caddyfile для 47 сайтов — 180 строк
# vs Nginx — 47 файлов, ~2100 строк суммарно

# Проверка конфигурации
caddy validate --config /etc/caddy/Caddyfile

# Запуск
systemctl stop nginx
systemctl start caddy

# Caddy автоматически получит 47 сертификатов за ~3 минуты
journalctl -u caddy -f
# ... obtaining certificate for example1.com
# ... obtaining certificate for example2.com
# ... certificate obtained successfully

Результат через 3 месяца: