Switch Caddy to hardened non-root image

README.md

@@ -28,7 +28,7 @@ Cette infrastructure héberge l'ensemble des services nécessaires pour le déve
 
 | Service | Image | Description | Exposition |
 |---------|-------|-------------|------------|
-| **reverse_caddy** | `caddy:2.11-alpine` | Reverse proxy, HTTPS auto, HTTP/3 | `80`, `443/tcp`, `443/udp` |
+| **reverse_caddy** | `dhi.io/caddy:2.11` | Reverse proxy, HTTPS auto, HTTP/3 (non-root, ports internes 8080/8443) | `80→8080`, `443→8443/tcp`, `443→8443/udp` |
 | **wireguard_server** | `linuxserver/wireguard:latest` | VPN d'accès distant + CoreDNS | `51820/udp` |
 
 ### Stack `git`
@@ -156,7 +156,7 @@ Cette infrastructure héberge l'ensemble des services nécessaires pour le déve
 - **VPN** : WireGuard pour services internes
 
 ### Storage
-- **Volumes Docker** : `reversecaddydata`, `reversecaddyconfig` (core) · `giteadata`, `woodpeckerdata` (git) · `prometheusdata`, `tempodata`, `persesdata`, `alertmanagerdata`, `ntfydata` (observability)
+- **Volumes Docker** : `reversecaddydata`, `reversecaddyconfig` (core, propriété UID 65532) · `giteadata`, `woodpeckerdata` (git) · `prometheusdata`, `tempodata`, `persesdata`, `alertmanagerdata`, `ntfydata` (observability)
 - **Host mounts** : `/home/user/wireguard-config`, `/lib/modules` (WireGuard) · `/var/run/docker.sock` (Woodpecker agent, Herald, `docker-proxy-otel`) · `/` en lecture seule (OTel Collector)
 
 ### Monitoring
@@ -203,6 +203,9 @@ Cette infrastructure héberge l'ensemble des services nécessaires pour le déve
 - Renouvellement automatique des certificats
 - Métriques Prometheus exposées
 - Configuration simple (Caddyfile)
+- Image hardened `dhi.io/caddy:2.11` : non-root (UID 65532), sans shell
+- Écoute interne sur `8080`/`8443`, mappée depuis `80`/`443` (ports privilégiés)
+- `Alt-Svc` forcé sur `:443` pour conserver HTTP/3 vu de l'extérieur
 
 ### WireGuard
 - VPN moderne et rapide