Com'è fatto un Caddyfile minimo per esporre due servizi Docker?

Tutto qui:

foto.example.com {
    reverse_proxy immich:2283
}
note.example.com {
    reverse_proxy joplin:22300
}

Caddy ottiene e rinnova i certificati HTTPS da solo: niente certbot, niente cron. I tre dettagli che fanno funzionare la magia in Docker: 1) Caddy e i servizi devono stare sulla stessa network di compose, così immich:2283 si risolve col nome del servizio; 2) le porte 80 e 443 le pubblica solo Caddy – gli altri container non espongono nulla sull'host, il proxy li raggiunge internamente; 3) i DNS dei due host devono puntare al tuo IP prima del primo avvio, o la richiesta dei certificati fallisce. Da lì si cresce: un WAF davanti, ban automatici, header di sicurezza. Ma il cuore resta questo: quattro righe leggibili al posto di quaranta.