Reverse proxy : nginx, HAProxy, Caddy, Traefik, Envoy

Un reverse proxy (proxy inverse) est le composant qui s'intercale entre Internet et tes backends pour faire TLS termination, routage HTTP, load balancing, caching, rate limiting et souvent un peu de WAF. Le marché 2026 est dominé par 5 acteurs majeurs : nginx (1.27.x, ~33% des serveurs Internet selon Netcraft mai 2025, racheté par F5 en 2019, fork freenginx par Maxim Dounin en février 2024), Caddy (v2.8, juin 2024, auto-HTTPS ACME natif, écrit en Go), Traefik (v3.2, octobre 2024, leader sur Kubernetes), HAProxy (3.0 LTS, mai 2024, référence load balancing TCP haute perf), Envoy (1.32, sous-jacent d'Istio et Contour). Apache HTTP Server (httpd 2.4.62, septembre 2024) reste massif en legacy mais à éviter sur les nouveaux projets, la « Confusion Attack » révélée par Orange Tsai (DEVCORE) à Black Hat USA août 2024 a exposé 9 CVE dont 3 RCE/auth bypass critiques (CVE-2024-38474/38476/38477). Cet article documente le comparatif technique 2026, les patterns de config sécurité, le support HTTP/3 et QUIC, les CVE marquantes, et les anti-patterns persistants.

Pour la couche au-dessus du reverse proxy : voir WAF (Web Application Firewall). Pour la primitive crypto sous-jacente : TLS (Transport Layer Security).

Le bon mental model : reverse proxy ≠ load balancer ≠ WAF ≠ API gateway

Le piège conceptuel de 2026 : tout reverse proxy moderne (Traefik, Caddy, Envoy) fait du load balancing et un peu de WAF, donc on confond les rôles. Distinction propre :

Concrètement, un déploiement web typique 2026 chaîne : [Cloudflare WAF/CDN] → [HAProxy L4 LB] → [nginx reverse proxy + TLS term] → [Kong API gateway si APIs] → [backends]. Mais sur SaaS solo ou SMB : [Caddy reverse proxy + auto-HTTPS] → [backends] suffit.

Comparatif technique 2026

Performance brute pure (RPS) : HAProxy reste roi, suivi de nginx. Caddy et Traefik paient ~2-4x leur tribut au runtime Go (GC, goroutines), mais offrent une UX bien supérieure. Envoy paye sa flexibilité xDS.

Hardening reverse proxy : config nginx baseline 2026

# /etc/nginx/nginx.conf, baseline production 2026
user www-data;
worker_processes auto;
worker_rlimit_nofile 65535;
 
events {
    worker_connections 4096;
    use epoll;
    multi_accept on;
}
 
http {
    # Hide server version (info disclosure)
    server_tokens off;
    more_clear_headers Server;  # nginx-extras
 
    # Buffer hardening contre slowloris / oversized requests
    client_body_buffer_size 16k;
    client_max_body_size 10m;
    client_header_buffer_size 1k;
    large_client_header_buffers 4 8k;
    client_body_timeout 12;
    client_header_timeout 12;
    keepalive_timeout 15;
    send_timeout 10;
 
    # Compression sécurisée (BREACH safe en HTTPS)
    gzip on;
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_min_length 1024;
    gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript;
 
    # TLS Mozilla Intermediate
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_session_tickets off;
    ssl_stapling on;
    ssl_stapling_verify on;
 
    # Rate limiting global
    limit_req_zone $binary_remote_addr zone=api_limit:10m rate=10r/s;
    limit_conn_zone $binary_remote_addr zone=addr:10m;
 
    # Logs structurés JSON (parser SIEM-friendly)
    log_format json escape=json '{'
        '"time":"$time_iso8601",'
        '"remote":"$remote_addr",'
        '"method":"$request_method",'
        '"uri":"$request_uri",'
        '"status":$status,'
        '"size":$body_bytes_sent,'
        '"rt":$request_time,'
        '"ua":"$http_user_agent",'
        '"ref":"$http_referer"'
    '}';
    access_log /var/log/nginx/access.json json;
 
    server {
        listen 443 ssl http2;
        listen 443 quic reuseport;  # HTTP/3
        listen [::]:443 ssl http2;
        listen [::]:443 quic reuseport;
        http3 on;
 
        server_name api.example.com;
 
        # Security headers (Mozilla Observatory A+)
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
        add_header X-Content-Type-Options "nosniff" always;
        add_header X-Frame-Options "DENY" always;
        add_header Referrer-Policy "strict-origin-when-cross-origin" always;
        add_header Content-Security-Policy "default-src 'self'; frame-ancestors 'none'" always;
        add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
        add_header Alt-Svc 'h3=":443"; ma=86400' always;
 
        # Rate limit + connection limit
        limit_req zone=api_limit burst=20 nodelay;
        limit_conn addr 100;
 
        # Reverse proxy vers backend
        location / {
            proxy_pass http://backend;
            proxy_http_version 1.1;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_connect_timeout 5s;
            proxy_read_timeout 30s;
            proxy_send_timeout 30s;
            proxy_buffering on;
            proxy_buffers 8 16k;
        }
 
        # Block crawlers indésirables et exploits CVE classiques
        location ~ /\.(git|env|aws|svn|hg) { deny all; return 404; }
        location ~ \.(php|asp|aspx|jsp)$ { return 404; }  # blocage attaques shell upload
    }
}

Caddy équivalent en 15 lignes :

{
    servers {
        protocols h1 h2 h3
    }
}
 
api.example.com {
    encode zstd gzip
    header {
        Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
        X-Content-Type-Options "nosniff"
        X-Frame-Options "DENY"
        Content-Security-Policy "default-src 'self'; frame-ancestors 'none'"
        -Server
    }
    rate_limit {
        zone api { key {client_ip} events 10 window 1s }
    }
    reverse_proxy backend1:8080 backend2:8080 {
        lb_policy least_conn
        health_uri /healthz
        health_interval 5s
    }
}

C'est l'équivalent fonctionnel de la config nginx ci-dessus. Différence : Caddy obtient le cert TLS automatiquement via ACME, sans une ligne de config supplémentaire.

CVE marquantes reverse proxy 2024-2025

L'événement de 2023-2024 majeur : HTTP/2 Rapid Reset (CVE-2023-44487), attaque DDoS L7 atteignant 398 millions de requêtes par seconde sur Google Cloud (record absolu d'octobre 2023), exploitant la possibilité de RST_STREAM massif en HTTP/2. Patches sur tous les reverse proxies majeurs en octobre-novembre 2023. nginx 1.25.3, HAProxy 2.8.2, Apache 2.4.58, Envoy 1.27.3 corrigés.

Confusion Attack Apache (août 2024) : Orange Tsai a démontré à DEFCON 32 et Black Hat USA 2024 que la chaîne RewriteRule + AddHandler + AliasMatch + sub-request permet 9 classes distinctes de bugs structurels, auth bypass d'admin panels, SSRF vers métadonnées cloud, RCE via filename confusion. La présentation est devenue un classique du red team web.

Patterns de déploiement par contexte

Erreurs fréquentes en exploitation reverse proxy

Mapping framework : reverse proxy dans les référentiels sécu

Pour aller plus loin

• WAF (Web Application Firewall), pour la couche de filtrage applicatif souvent collocalisée avec le reverse proxy.
• TLS (Transport Layer Security), la primitive crypto sous-jacente du HTTPS terminé par le reverse proxy.
• Zero Trust Architecture (ZTA), où le reverse proxy joue souvent le rôle de PEP (Policy Enforcement Point).
• CVE (Common Vulnerabilities and Exposures), pour suivre les CVE Apache/nginx/HAProxy 2024-2025.
• Bastion / Jump server / PAM, comparable côté SSH, complémentaire en architecture admin.
• Sources externes : nginx docs, Caddy docs, HAProxy docs, Apache Confusion Attack paper, HTTP/2 Rapid Reset.

Points clés à retenir

• Marché 2026 dominé par 5 reverse proxies : nginx (~33% Internet selon Netcraft mai 2025), Caddy 2.8, Traefik 3.2, HAProxy 3.0 LTS, Envoy 1.32. Apache 2.4.62 reste massif en legacy mais à éviter en greenfield.
• Confusion Attack Apache (Orange Tsai, Black Hat USA août 2024) : 9 CVE structurelles (CVE-2024-38473 à 38477), patch obligatoire ≥ 2.4.60.
• HTTP/2 Rapid Reset (CVE-2023-44487, octobre 2023) : DDoS record 398M req/s sur Google Cloud, patch obligatoire sur tous les reverse proxies HTTP/2.
• HTTP/3 (RFC 9114) sur QUIC (RFC 9000) supporté natif depuis 2023-2024 sur tous les majeurs : nginx 1.25+, Caddy 2.x, HAProxy 2.9+, Traefik 3+, Envoy 1.30+.
• Caddy gagne sur l'auto-HTTPS ACME (RFC 8555) intégré : aucun cron certbot, aucune config TLS manuelle, OCSP stapling par défaut.
• Performance brute (RPS 1 cœur) : HAProxy ~80-150k > nginx ~50-80k > Envoy ~40-70k > Caddy ~20-40k > Traefik ~15-30k > Apache ~10-25k.
• Stack baseline 2026 SaaS solo : Caddy + Cloudflare devant. Stack enterprise haute charge : HAProxy + nginx + Cloudflare + Kong API gateway.
• Headers sécurité minimum : HSTS (max-age 2 ans + preload), CSP, X-Content-Type-Options, X-Frame-Options DENY, Referrer-Policy strict-origin. Cible : grade A+ Mozilla Observatory.
• Rate limiting par IP minimum : 10-30 req/s sur API publique, 5 req/min sur login/auth. Au-delà, basculer sur API gateway (Kong, Tyk).
• Logs JSON structurés pour SIEM-readiness : log_format json ou Caddy log JSON natif. Plain text deprecated en 2026.
• Position : ne plus démarrer de nouveau projet sur Apache HTTP Server. Garder Apache uniquement pour legacy .htaccess / mod_php / cPanel.
• Reverse proxy = L7 routage / TLS / cache. API gateway = + auth + rate limit per consumer + versioning. Service mesh proxy = + mTLS + observability sidecar.