OllamaをCaddyでHTTPS化する方法｜自動SSL証明書取得でリバースプロキシをLinuxに最短構成で構築する手順

この記事のポイント

・Caddyfileにドメイン名とreverse_proxyを書くだけでHTTPS証明書が自動取得される
・certbotやcronの手動設定が不要で、証明書の更新もCaddyが自動で行う
・caddy hash-passwordとbasicauthディレクティブでAPIをパスワード保護できる
・OLLAMA_HOSTを127.0.0.1に限定してCaddy経由のみアクセスさせる構成が基本

# Caddy用ポートを開放（HTTP challengeに80、HTTPS通信に443が必要）
$ sudo ufw allow 80/tcp comment 'Caddy HTTP challenge'
$ sudo ufw allow 443/tcp comment 'Caddy HTTPS'
$ sudo ufw reload

# 設定を確認
$ sudo ufw status
Status: active
To                         Action      From
--                         ------      ----
22/tcp                     ALLOW       Anywhere
80/tcp                     ALLOW       Anywhere
443/tcp                    ALLOW       Anywhere

# 必要なパッケージをインストール
$ sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl

# Caddy公式GPGキーを取得してキーリングに追加
$ curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' \
  | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg

# APTリポジトリを追加
$ curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' \
  | sudo tee /etc/apt/sources.list.d/caddy-stable.list

# パッケージリストを更新してCaddyをインストール
$ sudo apt update && sudo apt install -y caddy

# バージョンを確認
$ caddy version
v2.9.1 h1:OTkEHPxOm7SUJR9bDWF6RZNJ/Kno+k4oy0XCW/EVZ9M=

# systemdサービスの状態を確認
$ sudo systemctl status caddy
* caddy.service - Caddy
     Loaded: loaded (/usr/lib/systemd/system/caddy.service; enabled; vendor preset: enabled)
     Active: active (running) since Wed 2026-09-03 10:00:00 JST; 10s ago

# override.confを編集してOLLAMA_HOSTをlocalhostに限定する
$ sudo systemctl edit ollama

# エディタが開いたら以下の内容を追記する
[Service]
Environment="OLLAMA_HOST=127.0.0.1:11434"

# 保存後に設定を反映
$ sudo systemctl daemon-reload && sudo systemctl restart ollama

# OllamaがlocalhostのみでListenしていることを確認
$ ss -tlnp | grep 11434
LISTEN  0  128  127.0.0.1:11434  0.0.0.0:*  users:(("ollama",pid=12345,fd=3))

# /etc/caddy/Caddyfileを編集（your.domain.comは実際のドメイン名に置換すること）
$ sudo nano /etc/caddy/Caddyfile

# 以下の内容に書き換える
your.domain.com {
    reverse_proxy localhost:11434
    encode gzip
    header {
        X-Content-Type-Options nosniff
        X-Frame-Options DENY
        Strict-Transport-Security "max-age=31536000; includeSubDomains"
    }
}

# 設定ファイルの構文チェック
$ sudo caddy validate --config /etc/caddy/Caddyfile
Valid configuration

# 設定を反映（グレースフルリロード・既存接続を維持したまま切り替わる）
$ sudo systemctl reload caddy

# 動作確認（HTTPS経由でOllamaバージョンを取得）
$ curl https://your.domain.com/api/version
{"version":"0.6.5"}

# journalctlでCaddyのログを確認
$ sudo journalctl -u caddy -n 30 --no-pager | grep -i 'certificate\|tls\|acme'
Sep 03 10:01:05 server caddy[12345]: {"level":"info","msg":"certificate obtained successfully","identifier":"your.domain.com"}
Sep 03 10:01:05 server caddy[12345]: {"level":"info","msg":"served key authentication","identifier":"your.domain.com"}

# opensslで証明書の発行元と有効期限を確認
$ echo | openssl s_client -connect your.domain.com:443 -servername your.domain.com \
  | openssl x509 -noout -issuer -dates
issuer=C=US, O=Let's Encrypt, CN=R11
notBefore=Sep  3 01:00:00 2026 GMT
notAfter=Dec  2 01:00:00 2026 GMT

# caddy hash-passwordでbcryptハッシュを生成
$ caddy hash-password --plaintext "my-secure-password"
$2a$14$xvABs6.g3jPzXV5jIcPgXeGCPZkj9M/AYrHl3Xjn4oOMZ1KPmBQ2y

# /etc/caddy/Caddyfileを更新
your.domain.com {
    basicauth {
        # ユーザー名とbcryptハッシュパスワードを半角スペースで区切る
        teamuser $2a$14$xvABs6.g3jPzXV5jIcPgXeGCPZkj9M/AYrHl3Xjn4oOMZ1KPmBQ2y
    }
    reverse_proxy localhost:11434
    encode gzip
    header {
        X-Content-Type-Options nosniff
        X-Frame-Options DENY
        Strict-Transport-Security "max-age=31536000; includeSubDomains"
    }
}

# 設定を検証して反映
$ sudo caddy validate --config /etc/caddy/Caddyfile && sudo systemctl reload caddy

# 認証なしでアクセス（401 Unauthorizedが返るはず）
$ curl -s -o /dev/null -w "%{http_code}" https://your.domain.com/api/version
401

# 正しい認証情報でアクセス
$ curl -u "teamuser:my-secure-password" https://your.domain.com/api/version
{"version":"0.6.5"}

# Caddyのログで詳細なエラーを確認する
$ sudo journalctl -u caddy -n 50 --no-pager | grep -i 'error\|failed\|acme'

# UFWのポート80開放を確認
$ sudo ufw status | grep 80
80/tcp                     ALLOW       Anywhere

# DNSが正しく向いているか確認
$ dig +short your.domain.com
203.0.113.10

# Ollamaサービスの状態確認
$ sudo systemctl status ollama
# → Activeでなければ再起動する
$ sudo systemctl restart ollama

# localhostから直接APIを叩いて動作確認
$ curl http://localhost:11434/api/version
{"version":"0.6.5"}

# CaddyfileのheaderブロックにCORSヘッダーを追加
your.domain.com {
    basicauth { ... }
    reverse_proxy localhost:11434
    header {
        Access-Control-Allow-Origin "https://your-frontend.example.com"
        Access-Control-Allow-Methods "GET, POST, OPTIONS"
        Access-Control-Allow-Headers "Content-Type, Authorization"
        X-Content-Type-Options nosniff
    }
}

$ sudo caddy validate --config /etc/caddy/Caddyfile && sudo systemctl reload caddy

ローカルLLMの構築・セキュア運用を2日間のハンズオンで体験する

OllamaのインストールからCaddyによるHTTPS化・Basic認証の設定まで、実機Linux環境で手を動かしながら習得したい方向けに、「ローカルAIマスターセミナー」を開催しています。
少人数（最大8名）ZOOMハンズオン形式で実施しています。