Non si configura: è il default. Un Caddyfile minimo –
example.com { reverse_proxy 127.0.0.1:3000}
– e Caddy ottiene da solo il certificato da Let's Encrypt/ZeroSSL, lo rinnova, fa il redirect da HTTP e serve HTTPS con impostazioni moderne (TLS 1.3, HTTP/2 e HTTP/3, OCSP stapling). L'unico prerequisito: DNS che punta al server e porte 80/443 raggiungibili. Per i wildcard o le macchine non esposte si passa alla challenge DNS col plugin del proprio provider.
È il motivo per cui Caddy è la scelta più amata nel self-hosting: la parte che su altri server è una checklist qui è assenza di configurazione. Cosa NON è incluso: la protezione applicativa – per quella si aggiungono caddy-waf (WAF completo) e caddy-mib (ban degli insistenti).