Backlog: security-ревью (fable) — 13 находок по приоритетам

docs/backlog/caddy-hardening-nits.md

@@ -0,0 +1,19 @@
+# Мелкий хардненинг Caddy
+
+**Приоритет:** низкий
+
+- **HSTS**: заголовок `Strict-Transport-Security` не выставляется нигде в
+  `files/caddyproxy/Caddyfile.template`. Одна строка `header
+  Strict-Transport-Security "max-age=31536000"` в общем сниппете (рядом с
+  `access_log`) закрывает downgrade/SSL-strip для всех поддоменов разом.
+- **Лишний `NET_ADMIN`** (`files/caddyproxy/docker-compose.template.yml`) —
+  reverse-proxy эта capability не нужна (требуется лишь для тюнинга UDP-буферов
+  HTTP/3, работает и без неё с warning). Убрать у edge-контейнера, торчащего в
+  интернет.
+- **Leftover-листенер `:29999`** в `Caddyfile.template` (site `status.vakhrushev.me,
+  :29999`) — наследие прямого доступа к netdata; убрать, оставив только доменный
+  site-блок.
+
+Из sec-ревью (fable, 2026-07-13).
+
+Связано: files/caddyproxy/Caddyfile.template, files/caddyproxy/docker-compose.template.yml.