Der schlanke Reverse-Proxy Caddy hat seine grosse Privacy-Karte gezogen: v2.10 aktiviert Encrypted ClientHello (ECH) und unterstuetzt von Haus aus den Post-Quantum-Key-Exchange x25519mlkem768. Damit verschwindet das letzte unverschluesselte TLS-Fragment — die Server-Name-Indication (SNI) — von DEINER Leitung.
ECH: Endlich keine Klartext-Domain mehr
Bisher konnte jeder Provider in der Mitte den Hostnamen im TLS-Handshake mitlesen, selbst wenn die spaetere HTTPS-Verbindung dicht war. Encrypted ClientHello packt diesen letzten Klartext-Fetzen in ein verschluesseltes Paket — und Caddy 2.10 rotiert die ECH-Schluessel automatisch. Wer also einen kleinen VPS bei Hetzner, IONOS oder Netcup betreibt, kann seinen Domain-Namen kuenftig vor Lauschern auf dem Backbone schuetzen.
POST-QUANTUM: x25519mlkem768 ab Werk
Der zweite grosse Schritt ist Post-Quantum-Kryptografie. Caddy aktiviert x25519mlkem768 als hybriden Key-Exchange — eine Kombination aus klassischem X25519 und dem ML-KEM-768-Algorithmus aus dem NIST-PQC-Standard. Damit ist DEINE TLS-Session auch dann sicher, wenn jemand sie heute aufzeichnet und in zehn Jahren mit einem Quantum-Computer entschluesseln will (Stichwort harvest-now, decrypt-later).
ACME-PROFILE: Let’s Encrypt mit 6-Tage-Certs
Ein experimentelles Feature: ACME-Profile. Damit kannst du beim Zertifikatsausstellen Eigenschaften feiner waehlen als ueblich. Let’s Encrypt bietet etwa ein Profil mit nur 6 Tagen Laufzeit — perfekt fuer Setups, in denen ein widerrufenes Cert sofort weg sein soll, ohne auf die OCSP-Cache-Trauer zu warten.
EXTRA-TIPPS: Reverse-Proxy bekommt Politur
Der Reverse-Proxy schreibt jetzt automatisch den Host-Header auf die Upstream-Adresse, wenn der Upstream auf HTTPS lauert. Das war bisher eine haeufige Fehlerquelle bei TLS-Backends. Zudem kann log_append nun Request- und Response-Bodies mitloggen — Gold wert beim Debuggen von API-Setups.
Wer per SIGUSR1 die Config neu lasen will, kann das in v2.10 auch dann, wenn die Konfig urspruenglich aus einer Datei geladen wurde und nicht ueber die API geaendert. Mehr CLI-Workflow, weniger Container-Restart.
FAZIT: Pflicht-Update fuer Privacy-Bewusste
Caddy 2.10 ist kein Hotfix-Release, sondern ein klares Privacy-Statement. ECH und PQC sind keine Nice-to-Haves mehr, sie werden in den naechsten Monaten von Browsern und CDNs flaechendeckend erwartet. Wer DEINEN Reverse-Proxy heute schon auf den Stand bringt, ist 2027 nicht der Letzte, dessen Setup im Internet noch klartextfreundlich aussieht.
Haeufige Fragen
Was ist Encrypted ClientHello (ECH)?
Brauche ich Post-Quantum-Krypto heute schon?
Bricht Caddy 2.10 bestehende Konfigurationen?
Wie aktiviere ich ECH in meinem Caddyfile?
Quellen: github.com/caddyserver/caddy/releases (v2.10 Tag), tuxmachines.org (Caddy 2.10 ECH Coverage), x-cmd.com (Caddy 2.10 Release Highlights).