小チーム共有リモートMac：Nginx と Caddy 協働入口の TLS・遅延・運用コスト

共有 Mac では「ビルド用デーモン」「OpenClaw ゲートウェイ」「簡易ステータス UI」が同じ OS ユーザーまたは別ユーザーで同居しがちです。HTTPS 入口を足すと、(1) 証明書の有効期限と更新失敗、(2) 443 の単一占有、(3) 長時間 SSE/WebSocket によるワーカ占有、(4) ログにトークンが混ざる、(5) レート制限なき公開でスキャン負荷が典型リスクになります。SSH は管理、VNC は GUI、HTTPS は「外向きに最小の面だけ開く」役に切り分けると説明責任が楽です。多ノードに広げる境界は マルチノードデプロイガイド で揃えると、入口とワーカの責務が追いやすくなります。

遅延そのものはどちらも TLS 終端＋プロキシ1ホップが主で差は小さく、差が出るのは運用の手間とモジュール拡張の慣れです。

選定のコツは「チームにとっての変更頻度」です。ドメインやルートが週次で増えるなら Caddy の短い設定が速く、既存の Nginx テンプレや WAF 連携があるなら Nginx 一本が学習コストを抑えます。どちらも TLS 終端だけ担わせ、アプリは必ずループバックに寄せると、将来 MeshMac でノードを足したときに「入口の型」をコピペで横展開しやすくなります。

閾値の目安（共有 Mac・小トラフィック）：worker_processes は auto（または vCPU と同数）。worker_connections は 1024 起算でよく、長接続や大量通知が乗るなら 2048〜4096 を検討。upstream keepalive は同時接続ピークのおおよそ 1/4〜1/2 を上限目安に 16〜64（バックエンドが HTTP/1.1 の keep-alive に対応していることが前提）。proxy_read_timeout や Caddy の read_timeout は、SSE やビルドログのストリームなら 3600s 前後、通常の JSON API なら 60〜120s で足りるケースが多いです。

バックエンド例：127.0.0.1:8080。本番ドメインと証明書パスは環境に合わせて置換してください。

Nginx（抜粋）

worker_processes auto;
events { worker_connections 2048; }
http {
  upstream app_local {
    server 127.0.0.1:8080;
    keepalive 32;
  }
  server {
    listen 443 ssl http2;
    server_name mac.example.com;
    ssl_certificate     /etc/letsencrypt/live/mac.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/mac.example.com/privkey.pem;
    location / {
      proxy_http_version 1.1;
      proxy_set_header Host $host;
      proxy_set_header Upgrade $http_upgrade;
      proxy_set_header Connection "";
      proxy_read_timeout 3600s;
      proxy_send_timeout 3600s;
      proxy_pass http://app_local;
    }
  }
}

Caddy（抜粋）

mac.example.com {
  reverse_proxy 127.0.0.1:8080 {
    transport http {
      keepalive 32
      read_timeout 3600s
    }
  }
}

Nginx で WebSocket だけ Connection "upgrade" にしたい場合は map で分岐する定石があります。共有機ではログに Authorization を出さないよう access_log フォーマットを絞ることを推奨します。

1. バックエンドを先に 127.0.0.1:8080 で起動し、curl -sS http://127.0.0.1:8080/health 等で疎通。
2. sudo lsof -i :443 で 443 が空いているか確認。占有時は FAQ を参照。
3. Nginx か Caddy を Homebrew 等で導入し、上記スニペットを /usr/local/etc/nginx/nginx.conf または Caddyfile に配置。
4. DNS を Mac の公開 IP に向け、ファイアウォールで 443 のみ許可（管理用 SSH は別経路推奨）。
5. 証明書発行後、nginx -s reload または Caddy の graceful reload。更新失敗アラート（期限30日未満等）を1本化。