Was ist Caddy?

Caddy ist ein quelloffener Webserver, geschrieben in Go, der vor allem für sein automatisches HTTPS bekannt ist. Caddy holt und erneuert TLS Zertifikate vollautomatisch über Let's Encrypt und ZeroSSL, ohne dass du dich um Konfiguration oder Verlängerung kümmern musst.

Neben der Rolle als Webserver dient Caddy als Reverse Proxy und Load Balancer und eignet sich damit als sicheres Gateway vor selbst gehosteten Diensten. Wer seinen KI Stack mit Ollama und Open WebUI oder eine Coolify Instanz betreibt, stellt Caddy davor und macht die Dienste verschlüsselt aus dem Netz erreichbar.

Caddy steht unter der Apache 2.0 Lizenz, wird von Matthew Holt und einer aktiven Community entwickelt und liegt 2026 in Version 2.11 vor. Die Konfiguration läuft über das schlanke Caddyfile oder eine JSON API zur Laufzeit. Auch FrankenPHP baut auf Caddy auf und bringt damit einen modernen PHP Application Server mit Worker Mode.

Never Code Alone arbeitet seit Jahren ausschließlich mit Open Source Stacks und betreibt die eigene Plattform auf eigenen Servern in Deutschland. Reverse Proxy Setups mit Caddy oder nginx vor selbst gehosteten Diensten gehören zu unserem Beratungsalltag, vom automatischen TLS Zertifikat über den Zugangsschutz bis zum laufenden Betrieb.

Wenn ihr Caddy als Gateway vor euren KI Stack, eine Coolify Instanz oder klassische Web Anwendungen stellen wollt, begleiten wir Architektur, Setup und Betrieb. Unsere Erfahrung umfasst CI CD Pipelines, die DSGVO konforme Migration von SaaS zu Self Hosting, Managed Hosting auf eigenen Servern in Deutschland sowie Symfony und Sulu CMS Projekte hinter Caddy. Für KI gestützte Entwicklung mit sicherem Self Hosting ist unser Vibe Coding Consulting die passende Anlaufstelle.

Caddys Kernfeature ist automatisches HTTPS. Sobald du einen Domainnamen in der Konfiguration angibst, fordert Caddy beim Start ein TLS Zertifikat an, installiert es und erneuert es rechtzeitig vor Ablauf. HTTP Anfragen leitet Caddy automatisch auf HTTPS um.

Konfiguriert wird Caddy über das Caddyfile mit einer bewusst minimalen Syntax. Ein vollständiger Reverse Proxy mit gültigem Zertifikat passt in wenige Zeilen:

Mehr braucht es nicht. Die Domain bekommt ein gültiges Zertifikat, alle Anfragen gehen verschlüsselt an den lokalen Dienst auf Port 3000. Wer feiner steuern will, nutzt die JSON API, über die sich Caddy zur Laufzeit ohne Neustart umkonfigurieren lässt. Genau diese Einfachheit macht Caddy zur beliebten Wahl für Self Hosting.

Der häufigste Einsatz von Caddy im Self Hosting ist die Rolle als zentraler Reverse Proxy. Statt jeden Dienst einzeln ins Netz zu stellen, bindet man Automatisierung mit n8n, Open WebUI für Ollama und weitere Anwendungen intern an localhost und lässt nur Caddy nach außen sprechen.

Das bringt mehrere Vorteile: ein einziger Punkt für die TLS Terminierung, saubere Trennung über Subdomains und ein klarer Ort für Security Header und Zugangsregeln. Die eigentlichen Dienste sind nie direkt aus dem Internet erreichbar, sondern nur über den Proxy. Mehrere Dienste teilen sich eine Konfiguration:

Jede Subdomain bekommt ihr eigenes Zertifikat, beide Dienste laufen sicher hinter Caddy. Eine Coolify Instanz kann Caddy intern sogar selbst als Proxy verwenden, sodass sich beide Werkzeuge im Self Hosting gut ergänzen.

Caddy übernimmt die Sicherheitsschicht, die viele selbst gehostete Dienste nicht sauber mitbringen. Die eingebaute Basic Auth von n8n ist schwach, deshalb gehört die Authentifizierung besser vor die Anwendung. Mit der forward_auth Direktive prüft Caddy jede Anfrage gegen einen Authentifizierungsdienst wie Authelia oder einen OIDC Provider, bevor sie n8n überhaupt erreicht.

Ein Sonderfall sind Webhooks: Automatisierungs Workflows brauchen öffentlich erreichbare Endpunkte, der Editor und die internen Routen sollen aber geschützt bleiben. Die Lösung ist ein Path Split, der nur die Webhook Pfade offen lässt und den Rest hinter Auth stellt:

Was Caddy nicht abnimmt, bleibt App Sache: die interne Verschlüsselung der n8n Credentials über den Encryption Key, der DSGVO konforme Datenfluss innerhalb der Workflows und der Umgang mit Secrets in den Execution Logs. Caddy sichert den Transportweg und den Zugang, die Datenhaltung sicher zu gestalten gehört in die Architektur. Genau diese Trennung sauber aufzusetzen ist Teil unserer DevOps und CI CD Beratung.

Die häufigste Frage im Self Hosting lautet: Caddy oder nginx? Beide sind ausgereift und schnell. nginx ist der etablierte Klassiker mit riesigem Ökosystem, verlangt für HTTPS aber zusätzliche Werkzeuge wie certbot. Caddy bringt automatisches HTTPS und eine deutlich kompaktere Konfiguration von Haus aus mit. Traefik ist eine dritte Option, die besonders in dynamischen Container Umgebungen stark ist. Die folgende Tabelle stellt die beiden gängigsten Kandidaten gegenüber:

Caddy selbst verarbeitet keine personenbezogenen Daten und funkt nicht nach Hause. Es ist freie Software, die du auf deiner eigenen Infrastruktur betreibst, der Code ist offen einsehbar. Damit ist Caddy ein sauberer Baustein für DSGVO konformes Self Hosting: Die TLS Verschlüsselung schützt den Transportweg, das Hosting bleibt in Deutschland oder der EU, und die Daten verlassen die eigene Infrastruktur nicht.

Für viele Teams ist Caddy deshalb der Türöffner weg von kommerziellen Managed Diensten aus Drittstaaten hin zu selbst betriebenen, offenen Alternativen. Wer eine SaaS Lösung durch eine europäische Open Source Alternative ersetzen will, braucht genau diese Gateway Schicht. Bei der DSGVO konformen Migration und dem Managed Hosting auf eigenen Servern setzen wir Caddy regelmäßig als Reverse Proxy ein. Weitere Open Source Bausteine findest du im NCA Glossar Open Source Projekte.

Das offizielle Projekt beschreibt Caddy in einem Satz, der die Stärken auf den Punkt bringt:

Fast and extensible multi-platform HTTP/1-2-3 web server with automatic HTTPS

– Caddy README, github.com/caddyserver/caddy

Caddy war der erste Webserver, der HTTPS automatisch und standardmäßig nutzte. Bis heute hat das Projekt Billionen HTTPS Anfragen ausgeliefert und wird von hunderten Contributors weiterentwickelt. Entwickelt wird Caddy seit 2014 von Matthew Holt, heute als Projekt von ZeroSSL.

In unseren Beratungsprojekten ist Caddy oft das unscheinbare, aber entscheidende Bindeglied. Wir konfigurieren Reverse Proxy Setups regelmäßig, wenn Teams ihren eigenen KI Stack aus Ollama und Open WebUI sicher erreichbar machen oder Automatisierung mit n8n hinter eine saubere TLS und Auth Schicht stellen wollen.

Was wir dabei sehen: Die Caddy Konfiguration selbst ist selten das Problem. Die echten Fragen liegen in der Architektur, etwa wie öffentliche Webhooks und geschützte interne Routen getrennt werden, wie Secrets verwaltet werden und wie der laufende Betrieb mit Updates und Monitoring aussieht. Genau dort unterstützen wir mit Vibe Coding Consulting, Managed Hosting und CI CD Pipelines, damit aus einem Prototyp ein verlässlicher Produktionsbetrieb wird.

Hier beantworten wir die häufigsten Fragen zu Caddy, automatischem HTTPS, dem Vergleich mit nginx und der Absicherung selbst gehosteter Dienste.