Saltar a contenido

Caddyfile

Reverse proxy con SSL real (Let's Encrypt). Corre en network_mode: host.

/opt/docker/cady/
├── compose.yaml
└── Caddyfile

Contenido actual (post-limpieza junio 2026)

{
    servers :443 {
        timeouts {
            read_body 120s
        }
    }
}

# Servicios públicos
jellyfin.matias7235.com.ar      → localhost:8504
sonarr.matias7235.com.ar        → localhost:8508
radarr.matias7235.com.ar        → localhost:8509
prowlarr.matias7235.com.ar      → localhost:8507
bazarr.matias7235.com.ar        → localhost:8512
seer.matias7235.com.ar          → localhost:8513
dockge.matias7235.com.ar        → localhost:8501
nextcloud.matias7235.com.ar     → localhost:8502
immich.matias7235.com.ar        → localhost:8503
kan.matias7235.com.ar           → localhost:8514
office.matias7235.com.ar        → localhost:9980  (Collabora)
cloud.matias7235.com.ar         → localhost:9200  (OpenCloud)
wopi.matias7235.com.ar          → localhost:9300
vault.matias7235.com.ar         → localhost:8505  (+ /admin* bloqueado)
uptime.matias7235.com.ar        → localhost:8519
docs.matias7235.com.ar          → localhost:8520
lidarr.matias7235.com.ar        → localhost:8686
adguard.matias7235.com.ar       → localhost:3000
searx.matias7235.com.ar         → localhost:8517  (SearXNG de Odyssey)
ntfy.matias7235.com.ar          → localhost:8521
odyssey.matias7235.com.ar       → localhost:7000
opendesign.matias7235.com.ar    → localhost:7456 (auth nativa de OpenDesign)
pelican.matias7235.com.ar       → php_fastcgi unix//run/php/php8.3-fpm.sock
wings.matias7235.com.ar         → localhost:8525

# Servicios eliminados
- scrutiny, librechat, logs (dozzle), netdata (glances), termix
- qbittorrent → acceso directo removido (solo interno via arr_net)
- disk (SmartPropio) → comentado 2026-08-12, nunca llegó a correr

Detalles

  • SSL real (Let's Encrypt) automático
  • vault.matias7235.com.ar /admin* bloqueado fuera de 192.168.0.0/24 y 100.99.21.0/24
  • ⚠️ El Caddyfile es un bind mount de archivo: sed -i cambia el inode y el contenedor sigue viendo la versión vieja. caddy reload reporta éxito sin aplicar nada — hace falta docker restart caddy después de cada edición.
  • searx lo sirve el stack odyssey (prod, :8517), no odyssey-dev (que expone su SearXNG solo en la IP de WireGuard :8518). Ambos stacks pelean por el :7000, así que de odyssey corre únicamente el servicio searxng.
  • pelican usa PHP-FPM directo (no reverse_proxy)
  • Snippet (proxy): headers HSTS max-age=31536000; includeSubDomains, X-Content-Type-Options nosniff, Referrer-Policy same-origin, X-Frame-Options SAMEORIGIN, -Server.
  • Snippet (proxy_auth): (proxy) + basic_auth (usado por dockge y adguard).
  • Snippet (access_log): loguea a /opt/docker/cady/logs/sensitive.access.log (volume ./logs:/var/log/caddy). Lo lee fail2ban jail caddy-auth. Aplicado a sitios con login: vault, dockge, adguard, git, kan, immich, ntfy.
  • qbittorrent es solo interno (arr_net), accesible desde Sonarr/Radarr UI.