Caddy
Caddy 是可扩展的跨平台 Web 服务器和反向代理，支持 HTTP/1.1、HTTP/2、HTTP/3、自动 HTTPS、动态配置 API、负载均衡、访问日志和模块化构建。
适合做什么
Caddy 适合托管静态站点、反向代理应用、自动维护公网或内部 TLS、提供负载均衡和 HTTP/3，并可通过 Caddyfile 或 JSON API 管理配置。默认自动化降低了常规部署成本，但证书、DNS、上游和管理面仍需要明确权限设计。
当前版本与安全变化
2.11.4 发布于 2026-06-03，是当前稳定版，提供大量系统和架构资产。该版集中修复安全及相邻问题，包括 Windows 反斜杠路径、注入查询中的占位符重展开、畸形 HTML 处理和下划线头字段碰撞；升级后需验证依赖旧匹配行为的应用。
自动 HTTPS、模块与管理边界
证书自动化依赖 DNS、网络、CA 和持久化存储，不能替代上游认证与主机加固。管理 API 能改写整个运行配置，应保持私有。自定义模块进入同一进程并改变构建来源，必须固定、审计和复现。Caddy 核心采用 Apache-2.0，外部模块各有许可。
维护记录
本页于 2026-08-06 根据 Caddy 2.11.4 发布说明、平台资产、自动 HTTPS、配置适配与重载、管理 API、模块构建和 Apache-2.0 许可复核。
选择下载方式
下载前请核对资源版本和授权范围。本站不提供破解软件及未经授权的资料。
Caddy 2.11.4 反向代理、自动 HTTPS 与无中断重载教程
下面先在测试端口代理一个本地服务，校验配置和健康状态，再切换域名与 HTTPS；任何管理 API、证书存储或上游凭据都不暴露到公共目录。
安装前准备
- 准备一个仅监听本机或私有网络的测试上游，确认其健康检查路径和真实客户端地址需求。
- 使用域名时提前配置解析、放通 80/443 并确认没有其他服务占用；保留 DNS 和反向代理回滚记录。
- 为 Caddy 创建非登录服务账号、可写配置/数据目录和只读站点目录，不使用 root 运行整个进程。
安装步骤
- 01
选择标准包或固定模块构建
不需要额外模块时使用 2.11.4 标准包；需要 DNS、存储或认证模块时固定模块版本与校验，保存可复现构建清单。
- 02
建立最小 Caddyfile
先监听测试地址并仅配置 reverse_proxy 到本地上游，设置明确 Host、超时和日志目录；不要直接复制含通配符和任意代理的示例。
- 03
验证配置再启动服务
使用配置校验和适配输出检查语法与实际 JSON，启动后观察端口、上游响应和日志权限，确认管理接口仅在受信范围监听。
快速上手
- 01
验证 HTTP 代理链
从本机请求测试地址，检查状态码、Host、X-Forwarded-*、WebSocket 和大请求体行为；上游只接受代理节点需要的网络范围。
- 02
切换域名并观察证书流程
DNS 生效且端口可达后启用站点域名，检查 ACME 挑战、证书存储和续期日志。失败时修复网络或权限，不反复触发签发限额。
- 03
使用校验后重载
修改配置先校验，再通过受控 reload 或管理 API 无中断应用；保留上一个可用文件与证书数据备份，重载后执行外部健康检查。
使用建议
- 自动 HTTPS 简化证书生命周期，但不会自动修复错误 DNS、开放防火墙、弱上游认证或泄露的环境变量。
- 证书、私钥、OCSP/ACME 状态和配置 API 数据目录必须持久化并限制权限，多副本需要兼容的共享存储或协调方案。
- 2.11.4 修复路径匹配、查询占位符重展开、异常 HTML 处理和头字段碰撞等安全问题，某些依赖旧错误行为的配置可能发生变化。
故障排查与卸载方法
自动 HTTPS 一直失败怎么办？
检查 DNS A/AAAA、NAT、80/443 可达性、系统时间、CA 错误、证书存储权限和近期失败次数。使用 DNS 挑战时确认自定义构建含对应模块及最小权限凭据。
重载成功但部分路由异常怎么办？
对比适配后的配置、匹配顺序、路径转义、Host 与上游健康状态，查看结构化日志。立即回滚到上一版配置并复现，不连续修改生产配置猜测。
- 停止流量并导出配置状态先从 DNS 或负载均衡摘除节点，保存 Caddyfile、适配配置、模块清单和必要证书状态，确认没有活动连接依赖该实例。
- 卸载并安全处理密钥停止服务后移除程序，证书与 ACME 账号密钥按迁移或销毁流程处理；撤销 DNS API 凭据，清理服务账号和不再需要的防火墙规则。
常见问题
写入域名后 Caddy 一定能自动申请 HTTPS 证书吗？
不一定。域名解析、80/443 入站、CA 限额、系统时间、存储权限和多实例共享都可能影响签发。内网名称会采用本地信任流程，也需要客户端信任相应根证书。
可以直接把 Caddy 管理 API 暴露到公网吗？
不应该。管理 API 能读取和修改运行配置，默认应只绑定受信本地接口或安全管理网络，并结合系统权限、网络策略与备份保护。
自定义插件能和标准二进制直接替换吗？
自定义构建会改变模块集合和供应链，升级时必须用同一清单重新构建、记录版本与校验并回归测试。标准包不会自动包含所有 DNS 提供商模块。
下载时需要提取码吗？
夸克网盘无需提取码；百度网盘所需的四位提取码会直接显示在下载入口旁。