如何保护Caddy服务器的配置API端点？

1. 限制API监听范围 #

默认Caddy的API仅监听localhost:2019，仅允许本地进程访问，外部无法调用。如果需要远程访问：

• 不要监听0.0.0.0，而是指定可信IP段，比如：

  caddy run --admin 192.168.1.0/24:2019
  

这样只有指定网段内的主机能访问API。

2. 使用API令牌验证 #

Caddy支持通过令牌校验API请求，启动时配置令牌：

caddy run --admin 0.0.0.0:2019 --admin-api-token "your-strong-random-token"

调用API时必须在请求头携带令牌：

curl -H "Authorization: Bearer your-strong-random-token" http://your-server:2019/config

3. 委托认证（借助Caddy自身或反向代理） #

可以把API端点放在认证层之后，用成熟的认证机制做校验：

• 基本认证示例（Caddyfile配置）：

  api.your-domain.com {
      reverse_proxy localhost:2019
      # 密码需用`caddy hash-password`命令生成
      basicauth / {
          alice JDJhJDEwJEVCNmdaNEg2Ti5iejRMYkF3MFZhZ3VtV3E1SzBWZEZ5Q3VWc0tzOEJwVjI3bFNKdU5QVy9q
      }
  }
  

• 也可以集成OAuth2、JWT等认证方式，通过Caddy的官方或第三方插件实现，将认证逻辑委托给这些标准方案。

4. 强制TLS加密 #

无论用哪种认证方式，都要给API端点启用TLS，避免敏感信息明文传输。可以直接启动时指定HTTPS监听：

caddy run --admin https://0.0.0.0:2019

或通过Caddyfile配置API域名的TLS证书。

内容的提问来源于stack exchange，提问作者Maielo