Caddy TLS 配置生成器

TLS 配置生成器的 Caddy 预设给 Caddyfile 补上明确的 TLS 设置。Caddy 本身已经做了大部分工作：自动申请证书、自动跳转 HTTPS、默认配置也很安全。生成器补充了明确的协议和套件设置、HSTS 头，以及使用自有证书文件的写法。

示例：中级档

example.com {
    tls {
        protocols tls1.2 tls1.3
        ciphers TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
    }
    header Strict-Transport-Security "max-age=63072000; includeSubDomains"
    root * /var/www/example.com
    file_server
}

只开 TLS 1.3 时写 protocols tls1.3，并去掉 ciphers 行：Caddy 用 Go 编写，Go 里 TLS 1.3 的套件不能配置。

版本说明

• 这个写法需要 Caddy 2。
• Caddy 2.10+ 会和支持的客户端（新版 Chrome、Firefox、Safari）协商 X25519MLKEM768，不需要任何设置。
• Caddy 不提供 TLS 1.0/1.1，“兼容旧版”档会保留 TLS 1.2 并加入 CBC 套件。

校验并重载

caddy validate --config /etc/caddy/Caddyfile
caddy reload --config /etc/caddy/Caddyfile

用 SSL 检查确认结果，它会显示协商出的密钥交换组。