# Мелкий хардненинг Caddy

**Приоритет:** низкий

- **HSTS**: заголовок `Strict-Transport-Security` не выставляется нигде в
  `files/caddyproxy/Caddyfile.template`. Одна строка `header
  Strict-Transport-Security "max-age=31536000"` в общем сниппете (рядом с
  `access_log`) закрывает downgrade/SSL-strip для всех поддоменов разом.
- **Лишний `NET_ADMIN`** (`files/caddyproxy/docker-compose.template.yml`) —
  reverse-proxy эта capability не нужна (требуется лишь для тюнинга UDP-буферов
  HTTP/3, работает и без неё с warning). Убрать у edge-контейнера, торчащего в
  интернет.
- **Leftover-листенер `:29999`** в `Caddyfile.template` (site `status.vakhrushev.me,
  :29999`) — наследие прямого доступа к netdata; убрать, оставив только доменный
  site-блок.

Из sec-ревью (fable, 2026-07-13).

Связано: files/caddyproxy/Caddyfile.template, files/caddyproxy/docker-compose.template.yml.