20 lines
1.2 KiB
Markdown
20 lines
1.2 KiB
Markdown
# Мелкий хардненинг Caddy
|
|
|
|
**Приоритет:** низкий
|
|
|
|
- **HSTS**: заголовок `Strict-Transport-Security` не выставляется нигде в
|
|
`files/caddyproxy/Caddyfile.template`. Одна строка `header
|
|
Strict-Transport-Security "max-age=31536000"` в общем сниппете (рядом с
|
|
`access_log`) закрывает downgrade/SSL-strip для всех поддоменов разом.
|
|
- **Лишний `NET_ADMIN`** (`files/caddyproxy/docker-compose.template.yml`) —
|
|
reverse-proxy эта capability не нужна (требуется лишь для тюнинга UDP-буферов
|
|
HTTP/3, работает и без неё с warning). Убрать у edge-контейнера, торчащего в
|
|
интернет.
|
|
- **Leftover-листенер `:29999`** в `Caddyfile.template` (site `status.vakhrushev.me,
|
|
:29999`) — наследие прямого доступа к netdata; убрать, оставив только доменный
|
|
site-блок.
|
|
|
|
Из sec-ревью (fable, 2026-07-13).
|
|
|
|
Связано: files/caddyproxy/Caddyfile.template, files/caddyproxy/docker-compose.template.yml.
|