Servir le site avec Caddy et HTTPS

Le serveur est verrouillé et le domaine pointe dessus. Cette page met un serveur web devant : elle ouvre les ports web, installe Caddy depuis son dépôt officiel, crée la racine web avec une page d'attente, écrit un seul Caddyfile, et vérifie depuis ton portable que https://example.com répond avec un certificat valide. La page suivante remplace la page d'attente par le vrai site.

Avant de commencer

$dig +short A example.com

203.0.113.10

Ouvrir les ports web

$sudo ufw allow 80/tcp
$sudo ufw allow 443/tcp
$sudo ufw allow 443/udp

Installer Caddy

$sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl gnupg
$curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
$curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
$sudo chmod o+r /usr/share/keyrings/caddy-stable-archive-keyring.gpg
$sudo chmod o+r /etc/apt/sources.list.d/caddy-stable.list
$sudo apt update && sudo apt install -y caddy

$systemctl is-active caddy

active

Créer la racine web et une page d'attente

$sudo install -d -m 755 /var/www/example.com/releases/placeholder
$echo '<!doctype html><meta charset="utf-8"><title>example.com</title><p>example.com est en cours de mise en place. Revenez bientôt.</p>' | sudo tee /var/www/example.com/releases/placeholder/index.html
$echo '<!doctype html><meta charset="utf-8"><title>Introuvable</title><p>404 : rien ici.</p>' | sudo tee /var/www/example.com/releases/placeholder/404.html
$sudo ln -sfn releases/placeholder /var/www/example.com/current

Écrire le Caddyfile

Le bloc ci-dessous est le /etc/caddy/Caddyfile en entier, déjà réglé selon les deux choix de cette page, HSTS et masquage des IP dans les logs : change-les dans le panneau et le fichier suit. Copie la commande et colle-la dans le terminal. Elle remplace le fichier par défaut d'un coup ; il n'y a rien à y ajouter ensuite.

{
    email ${ADMIN_EMAIL}
}
www.example.com {
    redir https://example.com{uri} permanent
}
example.com {
    root * /var/www/example.com/current
    encode zstd gzip
    file_server
    handle_errors 404 {
        rewrite * /404.html
        file_server
    }
    header {
        X-Content-Type-Options "nosniff"
        Referrer-Policy "strict-origin-when-cross-origin"
        X-Frame-Options "DENY"
        Permissions-Policy "camera=(), microphone=(), geolocation=()"
        -Server
    }
    @static path /_next/static/*
    header @static Cache-Control "public, max-age=31536000, immutable"
    @media path *.jpg *.jpeg *.png *.webp *.avif *.svg *.mp3 *.opus *.wav *.mp4
    header @media Cache-Control "public, max-age=604800"
    header Strict-Transport-Security "max-age=86400"
    log {
        output file /var/log/caddy/access.log {
            roll_size 10MiB
            roll_keep 10
        }
        format filter {
            request>remote_ip ip_mask 16 32
            request>client_ip ip_mask 16 32
        }
    }
}

HSTS. La ligne Strict-Transport-Security du fichier suit ton choix.

Valider et recharger

$sudo -u caddy caddy validate --config /etc/caddy/Caddyfile
$sudo systemctl reload caddy
$sudo journalctl -u caddy -f

$dig +short A example.com
$dig +short A www.example.com
$dig +short AAAA example.com
$dig +short CAA example.com

$sudo vim /etc/caddy/Caddyfile

    acme_ca https://acme-staging-v02.api.letsencrypt.org/directory

Vérifier depuis ton portable

$curl -sI https://example.com/ | head -1

HTTP/2 200

$curl -sI https://www.example.com/ | head -1

HTTP/2 301

$curl -sI https://www.example.com/ | grep -i '^location'

location: https://example.com/

$curl -s -o /dev/null -w '%{http_code}' https://example.com/nope/

404

$curl -sI https://example.com/ | grep -ci '^strict-transport-security'

1

Terminé

example.com répond maintenant en HTTPS avec un certificat Let's Encrypt que Caddy renouvelle tout seul, bien avant l'expiration. www et le HTTP simple redirigent vers https://example.com, HTTP/3 est disponible, les ressources statiques sont mises en cache pour longtemps, et le log d'accès tourne tout seul avec des adresses masquées. Les visiteurs voient la page d'attente.

La page suivante, Déployer des versions atomiques avec rsync, construit le site Next.js sur ton portable, l'envoie comme nouvelle release sous /var/www/example.com, et bascule le lien current pour la mettre en ligne.