Nginx

Nginx est le poste de garde par lequel passent toutes les requêtes avant d'atteindre votre application : il termine le chiffrement, sert les fichiers statiques, met en cache ce qui peut l'être, ajoute les en-têtes de sécurité, limite le débit d'un visiteur trop insistant et répartit le trafic entre plusieurs instances. C'est la brique la moins visible d'un hébergement, et celle dont le réglage a le plus d'effets directs sur ce qu'un visiteur ressent comme de la vitesse — et sur ce qu'un attaquant trouve ouvert.

• →CaddyChiffrement automatique et configuration très courte : moins de réglages, moins d'attention à donner
• →TraefikQuand les services sont en conteneurs et que le routage doit suivre leurs démarrages et arrêtsVoir la page
• →CloudflareLe filtrage et le cache au bord du réseau, en amont et en complément du proxy localVoir la page
• →ApacheToujours pertinent sur un hébergement historique où la configuration par répertoire est utilisée

1. 01

   Configuration versionnée et déployée par automatisation, jamais éditée à la main sur le serveur

2. 02

   Chiffrement moderne uniquement, certificats renouvelés automatiquement, redirection systématique

3. 03

   En-têtes de sécurité posés au proxy — c'est le seul endroit où ils s'appliquent à tout ce qui passe

4. 04

   Cache et compression réglés selon le type de contenu, avec une règle de purge explicite

5. 05

   Limitation de débit sur les points d'authentification, et journaux exploitables par la détection

• Nginx ou Caddy ?

  Caddy obtient et renouvelle les certificats tout seul, avec une configuration beaucoup plus courte : pour un petit périmètre ou une équipe sans exploitant, c'est un excellent choix. Nginx demande un peu plus d'écriture mais reste la référence sur les réglages fins — cache, limitation de débit, répartition de charge — et c'est ce que vous trouverez documenté partout. Les deux sont défendables ; ce qui ne l'est pas, c'est de laisser l'application exposée sans aucun des deux.
• Cloudflare devant le site rend-il le reverse proxy inutile ?

  Non, ils travaillent à deux étages. Cloudflare filtre et met en cache au bord du réseau, avant que le trafic n'atteigne votre hébergement. Nginx décide de ce qui se passe une fois arrivé : quel service répond, quels en-têtes sont posés, quelles limites s'appliquent. Et le jour où le service de bord est contourné ou désactivé, c'est le proxy local qui reste la dernière porte.
• Qu'est-ce que ça coûte ?

  Le logiciel est gratuit et open source, et il tourne sur la machine que vous avez déjà : il n'ajoute aucun coût de fonctionnement. Une offre commerciale existe pour des fonctions avancées de répartition et de supervision, mais elle ne concerne pas les besoins d'une PME.
• Combien coûte une remise à plat de cette couche ?

  Ce qui commande, c'est le nombre de domaines et de services servis, l'état de la configuration existante, la présence ou non d'un déploiement automatisé, et le niveau visé — un simple durcissement du chiffrement et des en-têtes n'a rien à voir avec une refonte du cache et de la répartition de charge. Le montant se fixe au devis, après un cadrage initial gratuit qui écrit le périmètre avant tout engagement.
• Est-ce que régler le cache peut casser le site ?

  Oui, et c'est le principal risque de cette couche : une page personnalisée servie depuis le cache à un autre visiteur est un incident de confidentialité, pas un problème de performance. C'est pourquoi le cache se pose type de contenu par type de contenu, avec une règle de purge écrite et une vérification sur les pages authentifiées avant toute mise en production.