# Закрыть admin API Caddy (localhost вместо всей сети)

**Приоритет:** высокий

`files/caddyproxy/Caddyfile.template:8` — `admin :2019`: admin API слушает на всех
интерфейсах контейнера, а в `web_proxy_network` сидят все приложения. Любой
скомпрометированный контейнер (rssbridge, tududi, calibre, ...) может POST-ом в
`http://caddyproxy:2019/config/` переписать маршрутизацию, снять `forward_auth`,
перехватить трафик или сертификаты. Порт реально нужен только netdata для метрик
(`files/netdata/go.d/prometheus.conf`). Фикс: вернуть `admin localhost:2019`, а
метрики отдать отдельным site-блоком `:2019 { metrics }` — netdata продолжит
скрейпить, admin API станет недоступен из сети.

Из sec-ревью (fable, 2026-07-13).

Связано: files/caddyproxy/Caddyfile.template, files/netdata/go.d/prometheus.conf.