Caddy reverse proxy với HTTPS tự động

{
	email ops@example.com
	# acme_ca https://acme-staging-v02.api.letsencrypt.org/directory   # bật khi thử nghiệm
}
 
app.example.com {
	encode zstd gzip
 
	# /api/users -> upstream nhận /users (bỏ prefix)
	handle_path /api/* {
		reverse_proxy 127.0.0.1:8000
	}
 
	handle {
		reverse_proxy 127.0.0.1:3000
	}
 
	header {
		Strict-Transport-Security "max-age=31536000"
		X-Content-Type-Options nosniff
		-Server
	}
 
	log {
		output file /var/log/caddy/app.access.log
		format json
	}
}
 
# Domain phụ chuyển hướng
www.app.example.com {
	redir https://app.example.com{uri} permanent
}

api.example.com {
	reverse_proxy 127.0.0.1:8001 127.0.0.1:8002 {
		lb_policy least_conn
		health_uri /healthz
		health_interval 10s
		fail_duration 30s
	}
}
 
legacy.example.com {
	reverse_proxy https://backend.example.net {
		header_up Host {upstream_hostport}
	}
}
 
# Chỉ dùng nội bộ: chứng chỉ do CA cục bộ của Caddy ký
grafana.lab.example.com {
	tls internal
	reverse_proxy 127.0.0.1:3000
}

caddy version
caddy fmt --overwrite /etc/caddy/Caddyfile
caddy validate --config /etc/caddy/Caddyfile
caddy adapt --config /etc/caddy/Caddyfile --pretty     # xem JSON config thật sự sinh ra
sudo systemctl reload caddy                             # reload không downtime
journalctl -u caddy -f                                  # log xin chứng chỉ, lỗi ACME
 
# Thử nhanh không cần file
caddy reverse-proxy --from app.example.com --to 127.0.0.1:8000
 
# Basic auth: sinh hash rồi dán vào khối basic_auth
caddy hash-password

admin.example.com {
	basic_auth {
		admin <hash-tu-caddy-hash-password>
	}
	reverse_proxy 127.0.0.1:9000
}