Caddy Server: Reverse Proxy HTTPS Tự Động Trên VPS 2026 — Config Chỉ 3 Dòng, HTTP/3 Mặc Định, Không Còn Phải Vật Vã Với Certbot

1. Tôi Đã Mất 3 Tiếng Để Renew Một Cái SSL Certificate — Và Đó Là Lần Cuối Cùng

Tháng 10/2025, tôi nhận được email từ khách hàng: "Website tao báo Not Secure, vào không được". Tôi SSH vào VPS, gõ certbot renew --dry-run. Lỗi: "The client lacks sufficient authorization". Mất 30 phút mới nhận ra: domain đã đổi sang Cloudflare proxy, Let's Encrypt không verify được qua HTTP challenge vì Cloudflare che IP thật. Phải chuyển sang DNS challenge, tạo API token Cloudflare, cài plugin certbot-dns-cloudflare. Xong xuôi mất 3 tiếng — cho một công việc lẽ ra phải tự động.

Đó là lần cuối tôi dùng Nginx + Certbot cho project cá nhân. Từ hôm đó, tôi chuyển sang Caddy Server. Caddy là web server viết bằng Go, nổi tiếng với một tính năng: tự động HTTPS. Bạn không cần Certbot. Không cần cron job renew. Không cần config ACME challenge. Bạn chỉ cần viết domain vào config — Caddy tự lo phần còn lại. Thề luôn, tôi còn không nhớ lần cuối mình đụng vào SSL certificate là khi nào.

Bài viết này là tất cả những gì tôi biết về Caddy sau một năm dùng production: từ cài đặt, reverse proxy nhiều service, HTTP/3, bảo mật, đến những cái bẫy mà doc chính thức không nói rõ.

2. Caddy Server Là Gì? Không Chỉ Là "Nginx Có Auto HTTPS"

Caddy (tên đầy đủ: Caddy Web Server) ra đời năm 2015, được viết hoàn toàn bằng Go bởi Matthew Holt. Không giống Nginx (C, 2004) hay Apache (C, 1995), Caddy được thiết kế từ đầu với triết lý: "mọi thứ nên mặc định bảo mật và đơn giản".

Caddy không chỉ auto HTTPS. Nó còn auto redirect HTTP→HTTPS, auto chọn challenge phù hợp, và — quan trọng nhất với VPS — tự động renew certificate trước khi hết hạn. Let's Encrypt cert có hiệu lực 90 ngày. Caddy renew tự động ở ngày thứ 60 (30 ngày trước khi hết hạn). Bạn không cần cron, không cần nhớ, không có chuyện "sáng thức dậy website bị báo Not Secure".

3. Cài Đặt Caddy Trên Ubuntu 24.04 — 3 Lệnh

sudo apt update
sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install -y caddy

Kiểm tra:

caddy version
# v2.8.4 h1:... (hoặc mới hơn)

sudo systemctl status caddy
# active (running)

Caddy đã chạy và tự động phục vụ một trang mặc định trên port 80. Chưa có config gì cả — Caddy đã chạy!

4. Caddyfile: Linh Hồn Của Caddy

Caddy dùng file cấu hình gọi là Caddyfile (mặc định ở /etc/caddy/Caddyfile). Đây là nơi Caddy tỏa sáng — config ngắn gọn đến mức khó tin.

4.1. Static Site — 2 Dòng

myblog.com {
    root * /var/www/myblog
    file_server
}

Đó là TOÀN BỘ config để chạy một static site với HTTPS. So với Nginx:

# Nginx equivalent — 20+ dòng
server {
    listen 80;
    server_name myblog.com;
    return 301 https://$host$request_uri;
}
server {
    listen 443 ssl http2;
    server_name myblog.com;
    ssl_certificate /etc/letsencrypt/live/myblog.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/myblog.com/privkey.pem;
    root /var/www/myblog;
    index index.html;
    location / {
        try_files $uri $uri/ =404;
    }
}

Caddy ngắn hơn 90% về số dòng config. Và bạn không cần tạo certificate trước — Caddy tự làm.

4.2. Reverse Proxy — 3 Dòng

api.myblog.com {
    reverse_proxy localhost:3000
}

Đây là config tôi dùng nhiều nhất. Backend Node.js chạy trên port 3000 → Caddy đứng trước xử lý HTTPS, rate limiting, compression.

4.3. Reverse Proxy Nhiều Service

myblog.com {
    # Frontend React
    handle /api/* {
        reverse_proxy localhost:3000
    }
    # Backend API
    handle {
        root * /var/www/frontend
        file_server
        try_files {path} /index.html
    }
}

4.4. WebSocket Proxy

ws.myblog.com {
    reverse_proxy localhost:8080
}

Caddy tự động upgrade HTTP → WebSocket connection. Không cần thêm proxy_set_header Upgrade $http_upgrade như Nginx.

5. Benchmark: Caddy vs Nginx — Ai Nhanh Hơn?

Tôi test cả hai trên cùng một VPS 4 vCPU, 4GB RAM tại Netihot. Backend là một Node.js Express app đơn giản trả về JSON 1KB. Tool benchmark: wrk với 100 connections, 30 giây.

Nginx nhanh hơn Caddy khoảng 10-15% về throughput thuần trong test này — điều này đã được biết đến từ lâu vì Nginx viết bằng C, tối ưu event loop cực tốt. Nhưng với 99% website, khác biệt 18K vs 22K req/s là không có ý nghĩa thực tế — traffic của bạn sẽ không bao giờ chạm đến giới hạn đó trên một con VPS.

Điều thú vị: HTTP/3 của Caddy nhanh hơn HTTP/2 của chính nó nhờ QUIC protocol (0-RTT handshake, multiplexing không bị head-of-line blocking). Đây là lợi thế thực sự với người dùng mobile/WiFi không ổn định — kết nối nhanh hơn, ít bị drop hơn.

6. Các Tính Năng Nâng Cao Của Caddy

6.1. Rate Limiting

api.myblog.com {
    rate_limit {
        zone api_zone {
            key {remote_host}
            events 100
            window 1m
        }
    }
    reverse_proxy localhost:3000
}

Mỗi IP chỉ được 100 requests/phút vào API. Vượt quá → 429 Too Many Requests. Cực kỳ hữu ích để chống brute force login và API abuse.

6.2. IP Filtering (ACL)

admin.myblog.com {
    @allowed remote_ip 1.2.3.4 5.6.7.8
    handle @allowed {
        reverse_proxy localhost:9090
    }
    handle {
        respond "Access Denied" 403
    }
}

6.3. Basic Auth

staging.myblog.com {
    basicauth {
        admin $2a$14$hashed_password_here
    }
    reverse_proxy localhost:4000
}

Tạo hash: caddy hash-password.

6.4. Compression (Gzip/Zstd)

myblog.com {
    encode zstd gzip
    root * /var/www/myblog
    file_server
}

Caddy hỗ trợ Zstandard (zstd) — thuật toán nén mới hơn gzip, nhanh hơn ~30% với tỉ lệ nén tương đương. Trình duyệt hiện đại (Chrome 123+, Firefox 126+) đều hỗ trợ.

6.5. Custom Error Pages

myblog.com {
    handle_errors {
        @502 expression {err.status_code} == 502
        handle @502 {
            root * /var/www/errors
            file_server
        }
        respond "Lỗi server" {err.status_code}
    }
    reverse_proxy localhost:3000
}

6.6. Logging Cấu Trúc

myblog.com {
    log {
        output file /var/log/caddy/myblog.log {
            roll_size 10mb
            roll_keep 5
        }
        format json
    }
    reverse_proxy localhost:3000
}

Caddy xuất log JSON mặc định — dễ parse bằng jq, đưa vào ELK/Grafana Loki hơn hẳn Nginx access log format.

7. Multi-Domain, Wildcard Certificates

7.1. Nhiều Domain Trên Cùng Một Config

site1.com, site2.com, site3.com {
    root * /var/www/shared
    file_server
}

Caddy tự động cấp một SAN certificate cho cả 3 domain — tiết kiệm rate limit Let's Encrypt (50 certs/tuần/domain).

7.2. Wildcard Certificate Với DNS Challenge

*.myblog.com, myblog.com {
    tls {
        dns cloudflare {env.CLOUDFLARE_API_TOKEN}
    }
    @sub api.myblog.com
    handle @sub {
        reverse_proxy localhost:3000
    }
    @www www.myblog.com
    handle @www {
        root * /var/www/myblog
        file_server
    }
}

Wildcard cert qua DNS challenge yêu cầu API token của DNS provider (Cloudflare, DigitalOcean, Route53...). Caddy hỗ trợ 15+ DNS provider qua module. Dùng wildcard thì không cần HTTP challenge — phù hợp khi backend không có port 80 public hoặc bạn muốn ẩn subdomain tồn tại.

8. Caddy Trong Docker: Setup Chuẩn Cho Multi-Service VPS

Nếu bạn chạy nhiều service trên cùng VPS (web, API, database admin, monitoring), dùng Caddy trong Docker Compose là chuẩn nhất:

# docker-compose.yml
version: '3.8'

services:
  caddy:
    image: caddy:2-alpine
    container_name: caddy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"  # HTTP/3 QUIC
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile
      - ./caddy_data:/data
      - ./caddy_config:/config
    networks:
      - web

  myapp:
    image: myapp:latest
    container_name: myapp
    restart: unless-stopped
    expose:
      - "3000"
    networks:
      - web

  adminer:
    image: adminer:latest
    container_name: adminer
    restart: unless-stopped
    expose:
      - "8080"
    networks:
      - web

networks:
  web:
    driver: bridge

Caddyfile:

app.myblog.com {
    reverse_proxy myapp:3000
}

db.myblog.com {
    basicauth {
        admin $2a$14$hashed_password
    }
    reverse_proxy adminer:8080
}

Tất cả service cùng network Docker bridge web → Caddy gọi tên container thay vì localhost → không cần expose port ra host → bảo mật hơn.

9. Bảo Mật Caddy: 5 Cấu Hình Quan Trọng

9.1. Ẩn Caddy Version

{
    servers {
        protocols h1 h2 h3
    }
}

myblog.com {
    header -Server
    reverse_proxy localhost:3000
}

9.2. Security Headers

myblog.com {
    header {
        X-Content-Type-Options "nosniff"
        X-Frame-Options "DENY"
        X-XSS-Protection "1; mode=block"
        Referrer-Policy "strict-origin-when-cross-origin"
        Permissions-Policy "geolocation=(), microphone=()"
        Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
    }
    reverse_proxy localhost:3000
}

9.3. Trusted Proxy (Đứng Sau Cloudflare/CDN)

myblog.com {
    @cloudflare remote_ip 173.245.48.0/20 103.21.244.0/22 103.22.200.0/22 ...
    header @cloudflare +X-Forwarded-For {remote_host}
    reverse_proxy localhost:3000
}

9.4. Giới Hạn Request Body Size

upload.myblog.com {
    request_body {
        max_size 50MB
    }
    reverse_proxy localhost:4000
}

9.5. Timeout Cho Slow Clients

myblog.com {
    reverse_proxy localhost:3000 {
        read_timeout 10s
        write_timeout 20s
    }
}

10. Khi Nào Nên Dùng Caddy, Khi Nào Vẫn Nên Dùng Nginx?

Nếu bạn tự quản VPS và không có nhu cầu cực đoan về hiệu năng — Caddy là lựa chọn tốt hơn Nginx trong năm 2026. Đơn giản hơn, an toàn hơn (memory-safe Go vs C), ít thứ phải lo hơn. Còn nếu bạn đang chạy production với hàng chục nghìn request/giây hoặc phụ thuộc vào OpenResty/Lua scripting — Nginx vẫn là vua.

11. Kết Luận: Caddy Đã Sẵn Sàng Cho Production

Caddy từng bị gán mác "web server cho hobby project" — nhưng năm 2026, điều đó không còn đúng nữa. Với hơn 8 năm phát triển, 50K+ GitHub stars, được dùng bởi các công ty như Netlify, Fly.io, và hàng triệu website — Caddy đã chứng minh nó là một web server production-grade.

Đối với tôi, lý do lớn nhất để chọn Caddy không phải là hiệu năng hay HTTP/3 — mà là nó lo hết mấy việc nhàm chán. SSL, renew, redirect, security headers. Tôi không phải nhớ cron certbot renew. Tôi không phải Google "nginx reverse proxy websocket config" mỗi lần thêm service mới. Tôi chỉ viết 3 dòng Caddyfile, caddy reload, và quên nó đi.

Nếu bạn đang chạy VPS với Nginx — thử cài Caddy song song một tuần cho project mới. Tôi cá là bạn sẽ không muốn quay lại.