Traefik et Caddy : deux solutions basées sur Go pour une infrastructure web moderne

Traefik est construit autour des orchestrateurs. Il scanne en continu votre daemon Docker ou l'API Kubernetes et établit des routes en fonction de ce qu'il y trouve. Vous démarrez un conteneur avec les bons labels, et en quelques secondes une route vers ce service est en place. Vous l'arrêtez, et la route disparaît. Pas de redémarrage du proxy, pas de configuration manuelle.

Caddy commence par le serveur web. Sa fonction centrale est le HTTPS automatique : configurez un domaine, et Caddy demande lui-même un certificat TLS via ACME, généralement auprès de Let's Encrypt. Il renouvelle aussi ce certificat lui-même. Pas de client séparé, pas de cronjob, pas d'étape manuelle.

Le choix entre les deux est un choix entre deux mondes. Si vous travaillez avec Kubernetes ou Docker Swarm et que vous voulez que le routage suive vos services, Traefik convient. Si vous voulez un serveur web qui se met en place rapidement et qui est sécurisé sans que vous ayez à y penser, Caddy convient.

Traefik : routeur de périphérie pour environnements dynamiques

La configuration est divisée en deux parties. La configuration statique — via un fichier TOML ou YAML ou des flags de ligne de commande — détermine les bases : ports, niveau de journalisation, quels providers sont actifs. La configuration dynamique, Traefik la génère lui-même à partir des métadonnées des services actifs. Dans Docker, ce sont les labels ; dans Kubernetes, les annotations.

Ce que cela coûte : il faut apprendre les concepts de Traefik. Router, service, middleware — ce ne sont pas des notions difficiles, mais il faut les connaître avant d'avoir une route fonctionnelle. La documentation est complète, mais pas toujours concise.

Un `docker-compose.yml` minimal pour Traefik v3 ressemble à ceci :

version: '3.8'</p><p>services:
  traefik:
    image: traefik:v3.1
    container_name: traefik
    restart: unless-stopped
    security_opt:
      - no-new-privileges:true
    networks:
      - proxy
    ports:
      - 80:80
      - 443:443
    environment:
      - CF_DNS_API_TOKEN=${CF_DNS_API_TOKEN}
    volumes:
      - /etc/traefik:/etc/traefik
      - /var/run/docker.sock:/var/run/docker.sock:ro
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.traefik.entrypoints=http"
      - "traefik.http.routers.traefik.rule=Host(`traefik.example.com`)"
      - "traefik.http.middlewares.traefik-auth.basicauth.users=${TRAEFIK_AUTH}"
      - "traefik.http.middlewares.traefik-https-redirect.redirectscheme.scheme=https"
      - "traefik.http.middlewares.sslheader.headers.customrequestheaders.X-Forwarded-Proto=https"
      - "traefik.http.routers.traefik.middlewares=traefik-https-redirect"
      - "traefik.http.routers.traefik-secure.entrypoints=https"
      - "traefik.http.routers.traefik-secure.rule=Host(`traefik.example.com`)"
      - "traefik.http.routers.traefik-secure.middlewares=traefik-auth"
      - "traefik.http.routers.traefik-secure.tls=true"
      - "traefik.http.routers.traefik-secure.tls.certresolver=letsencrypt"
      - "traefik.http.routers.traefik-secure.service=api@internal"</p><p>networks:
  proxy:
    external: true

Cette configuration utilise un réseau Docker externe nommé `proxy`. Créez-le d'abord :

docker network create proxy

Vous avez aussi besoin d'un fichier `.env` contenant votre jeton API Cloudflare (pour les défis DNS-01) et un hash d'authentification de base :

echo "CF_DNS_API_TOKEN=votre_jeton" > .env
echo "TRAEFIK_AUTH=$(htpasswd -nb admin votre_mot_de_passe | sed -e s/\\$/\\$\\$/g)" >> .env

La configuration statique dans `/etc/traefik/traefik.yml` :

global:
  sendAnonymousUsage: false</p><p>api:
  dashboard: true
  debug: true</p><p>log:
  level: INFO</p><p>entryPoints:
  http:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: https
          scheme: https
          permanent: true
  https:
    address: ":443"</p><p>certificatesResolvers:
  letsencrypt:
    acme:
      email: votre@email.com
      storage: /etc/traefik/acme.json
      dnsChallenge:
        provider: cloudflare
        resolvers:
          - "1.1.1.1:53"
          - "1.0.0.1:53"</p><p>providers:
  docker:
    endpoint: "unix:///var/run/docker.sock"
    exposedByDefault: false
  file:
    filename: /etc/traefik/config.yml

Notez que `exposedByDefault: false` signifie que vous devez définir le label `traefik.enable=true` sur chaque conteneur. C'est voulu — Traefik n'expose rien sans que vous le demandiez. Le prix, c'est un label supplémentaire par conteneur.

En 2023, Traefik Labs a publié Traefik Hub, un service de gestion d'API natif Kubernetes qui s'appuie sur Traefik. Il ajoute des fonctionnalités de passerelle API, de sécurité et de surveillance. Pour qui n'a besoin que d'un reverse proxy, c'est excessif. Pour qui cherche une plateforme API, c'est une option à examiner.