nginx oder Apache: Welchen Webserver solltest du einsetzen?

# Apache: geladene Module und tatsächlich aktive Vhosts
apachectl -M | sort
apachectl -S
apachectl configtest

# Wo liegen überhaupt .htaccess-Dateien und was steht drin
find /var/www -name .htaccess -printf '%p\n' | tee /root/htaccess-liste.txt
grep -rhn 'RewriteRule\|AuthType\|Header set' /var/www --include=.htaccess

# nginx: die vollständige Konfiguration nach allen Includes
nginx -T > /root/nginx-effektiv.conf

server {
    listen 443 ssl;
    http2 on;
    server_name app.example.de;
    root /var/www/app/public;

    # Ersetzt den Front-Controller-Block aus .htaccess
    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ~ \.php$ {
        try_files $fastcgi_script_name =404;      # kein Code aus fremden Pfaden
        fastcgi_split_path_info ^(.+\.php)(/.+)$;
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_pass unix:/run/php/php8.3-fpm.sock;   # Debian und Ubuntu
        # fastcgi_pass unix:/run/php-fpm/www.sock;    # RHEL-Familie
    }

    location ~* \.(jpg|png|css|js|woff2)$ {
        expires 30d;
        access_log off;
    }

    location ~ /\.(?!well-known) { deny all; }
}

upstream apache_backend {
    server 127.0.0.1:8080;
    keepalive 32;
}

server {
    listen 443 ssl;
    http2 on;
    server_name www.example.de;

    location / {
        proxy_pass http://apache_backend;
        proxy_http_version 1.1;
        proxy_set_header Connection        "";   # sonst greift keepalive zum Upstream nicht
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_read_timeout 60s;
    }
}

LoadModule remoteip_module modules/mod_remoteip.so

RemoteIPHeader X-Forwarded-For
RemoteIPTrustedProxy 127.0.0.1

# %a statt %h, damit im Log die echte Client-Adresse steht
LogFormat "%a %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" proxied
CustomLog /var/log/apache2/access.log proxied

Listen 127.0.0.1:8080

ssl_certificate     /etc/letsencrypt/live/www.example.de/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/www.example.de/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
add_header Strict-Transport-Security "max-age=31536000" always;

# HTTP/3, zusätzlich zu den bestehenden listen-Zeilen
listen 443 quic reuseport;
listen 443 ssl;
http2 on;
http3 on;
add_header Alt-Svc 'h3=":443"; ma=86400';

sudo nginx -t && sudo systemctl reload nginx

# Kommen Protokoll und Statuscode wie erwartet zurück?
curl -sI https://www.example.de/ | head -5
curl -sI --http2 https://www.example.de/ | head -1
curl -sI --http3 https://www.example.de/ | head -1

# Landet die echte Client-Adresse im Backend-Log?
curl -s https://www.example.de/ >/dev/null
sudo tail -2 /var/log/apache2/access.log

# Zertifikatskette und Ablaufdatum
openssl s_client -connect www.example.de:443 -servername www.example.de \
  </dev/null 2>/dev/null | openssl x509 -noout -dates -subject

# Wer hört auf welchem Port
sudo ss -tulpn | grep -E 'nginx|httpd|apache'