sockguard es un filtro de socket Docker de denegación predeterminado del mismo ecosistema CodesWhat, con un ajuste preestablecido creado para drydock:

services:
  drydock:
    image: codeswhat/drydock
    depends_on:
      sockguard:
        condition: service_healthy
    environment:
      - DD_WATCHER_LOCAL_HOST=sockguard
      - DD_WATCHER_LOCAL_PORT=2375
      - DD_AUTH_BASIC_ADMIN_USER=admin
      - "DD_AUTH_BASIC_ADMIN_HASH=<paste-argon2id-hash>"
    ports:
      - 3000:3000

  sockguard:
    image: codeswhat/sockguard
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - ./sockguard.yaml:/etc/sockguard/config.yaml:ro
    environment:
      - SOCKGUARD_CONFIG_FILE=/etc/sockguard/config.yaml
    healthcheck:
      test: wget --spider http://localhost:2375/version || exit 1
      interval: 5s
      timeout: 3s
      retries: 3
      start_period: 5s
    restart: unless-stopped

Consulte el ajuste preestablecido app/configs/portwing.yaml de sockguard para obtener un sockguard.yaml inicial (el mismo ajuste preestablecido portwing se envía en sus propios ejemplos).

docker run -d \
  --name drydock \
  -p 3000:3000 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e DD_AUTH_BASIC_ADMIN_USER=admin \
  -e "DD_AUTH_BASIC_ADMIN_HASH=<paste-argon2id-hash>" \
  codeswhat/drydock:latest

Advertencia: El acceso directo al socket otorga al contenedor control total sobre el demonio Docker. Utilice la configuración de proxy de socket anterior para implementaciones de producción. Consulte la Guía de seguridad de Docker Socket para conocer todas las opciones, incluido TLS remoto y Docker sin raíz.

• Actualizaciones conscientes de dependencias: las etiquetas o los metadatos de Compose crean un grafo de dependencias validado, muestran las oleadas exactas en la vista previa y ejecutan actualizaciones o reinicios de dependientes en orden determinista, con manejo seguro de ciclos, fallos y vistas previas obsoletas. (Discusión #219)
• Experiencia del operador: PWA instalable, enlaces de puertos con nombre, tiempo de actividad del contenedor en vivo, atajos de teclado y detección con espera para contenedores recién descubiertos.
• Migración incompatible de disparadores: DD_TRIGGER_* ahora impide el arranque y las etiquetas antiguas dd.trigger.include / dd.trigger.exclude ya no enrutan trabajo; use DD_ACTION_*, DD_NOTIFICATION_* y sus etiquetas con ámbito.
• Refuerzo de seguridad y ciclo de vida: la autenticación, las solicitudes de agentes, los registros, WebSockets y las solicitudes a registros tienen límites explícitos; se ocultan valores sensibles de comandos y hooks; el descubrimiento de Home Assistant se resincroniza después del arranque y retira trabajo de proveedores sin publicaciones obsoletas. (#708)
• Historial de estrellas propio: el proveedor de mismo origen /api/star-history sirve gráficos de Drydock, Sockguard y Portwing mediante una lista permitida, sin depender de un rastreador externo.

Notas completas en CHANGELOG.md.

• El transporte de agentes/Edge de Portwing madura: comprobaciones y actualizaciones nativas de Docker controladas por el controlador para Portwing 0.9.0+, transmisión continua de registros Edge, firma de solicitudes Ed25519 (v2) y nombres visibles propiedad del agente vinculados a su clave. (#632, #637)
• Política de actualización declarativa con estabilización de madurez: precedencia dd.updatePolicy.* de tres niveles, cuenta atrás en vivo hasta liberar un candidato retenido y una notificación maturity-cleared dedicada. (Discusión #307, Discusión #406)
• Plantillas por regla, preferencias de campana y el nuevo evento container-unhealthy, además de MQTT bidireccional de Home Assistant, cuyo botón Instalar ejecuta una actualización real. (Discusión #205, Discusión #198)
• Todas las vistas de listas principales son adaptables: una DataTable compartida con selector persistente tabla/tarjeta en las diez vistas, que cambia a tarjetas por debajo de unos 640 px. (#498)
• Se completa la paridad de /api/v1: se eliminan el alias sin versión /api/* y WS /api/log/stream (410 Gone); un shim opcional DD_COMPAT_WUDCARD cubre wud-card/Homepage. (Discusión #469)
• Refuerzo de seguridad: el acceso anónimo se cierra de forma segura también al actualizar, los activadores HTTP están protegidos frente a SSRF, WebSocket valida el origen completo y la cookie de sesión pasa a llamarse drydock.sid.

Notas completas en CHANGELOG.md.

• La comparación de digest parte de candidatos del mismo repositorio: getOrderedRepoDigests filtra RepoDigests por el repositorio de la imagen en vez de confiar en el primer elemento; un ancla obsoleta ya guardada se repara sola. (#670)
• nanoid fijado en 3.3.18 en todos los espacios de trabajo para CVE-2026-67213 y, en e2e, CVE-2026-67214. (#673)
• El gráfico Star History se aloja localmente: una ruta del mismo origen /api/star-history reemplaza la integración de terceros, con caché en el borde y un SVG alternativo si falla la consulta. (#672)
• Actualización de CVE en imágenes base: node:24-alpine usa Node 24.19.0 y la etapa de compilación de aquasec/trivy usa 0.73.0, eliminando CVE HIGH/MEDIUM. (#682)
• Resolución de alias del paquete de iconos: el extractor sigue cadenas de alias de Iconify e incorpora Font Awesome Brands; una prueba fija todos los iconos utilizados en el paquete. (#683)

• Renovación de dependencias de seguridad: brace-expansion 5.0.9, ip-address 10.3.1 y fast-uri 4.1.2 corrigen sus CVE asociadas. (#659)
• Reloj de madurez: el distintivo hot/mature resuelve primero updatePolicy.maturityMinAgeDays por contenedor y luego el umbral global, igual que el bloqueo; los fallos de fecha de publicación se registran con warn en vez de debug. (#604)
• Período de gracia al registrar agentes: los bloqueos transitorios agent-mismatch/no-update-trigger-configured se suavizan en las vistas mientras se registran los componentes; la admisión sigue cerrada. (#605)
• Registros WS y autenticación anónima: las actualizaciones WebSocket de registros aceptan sesiones cuando la autenticación anónima es el modo registrado. (#636)
• Respuestas 501 explícitas: las acciones de ciclo de vida en agentes sin transporte Docker del controlador devuelven 501 con la causa en vez de un 404 ambiguo. (#637)

• Transporte Portwing: las marcas exactas transport=docker-api, execution=controller, events=portwing de Portwing 0.9.0 enrutan comprobaciones nativas, actualizaciones individuales/por lotes, acciones de ciclo de vida, vistas previas y restauraciones mediante Standard HTTP autenticado o Edge. Portwing sigue siendo la fuente de eventos y el inventario sin procesar no puede borrar resultados del controlador. (#632, #637, Portwing #76)
• Notificaciones: plantillas de cuerpo y título por regla/por proveedor con vista previa en vivo, además de categorías de campana en la aplicación respaldadas por auditorías y umbrales de gravedad de actualización.
• Panel: reemplazo de cuadrícula CSS sin dependencia con reordenamiento táctil/ratón, cambio de tamaño limitado, diseños responsivos, visibilidad de widgets, restablecimiento y sincronización opcional de preferencias entre dispositivos.
• Política de actualización: precedencia declarativa de observador/etiqueta/UI, anulación/reversión de seguimiento de auditoría, cuenta regresiva de madurez/anulación manual y visibilidad informativa de etiquetas fijadas con una vista de etiquetas actual → más nueva apilada.
• Recursos del contenedor: la columna Recursos sigue visible de forma predeterminada, pero puede ocultarse de manera persistente; los accesos a fuente, notas de versión y registro permanecen en el menú Más y en los pies de tarjeta.
• Rendimiento y recuperación: deduplicación de listas de etiquetas por encuesta, proyecciones agregadas más ligeras, historiales de registros grandes virtualizados, transferencia de registros en vivo inmutable, tiempo de espera de arranque de autenticación, migraciones de preferencias completas y autocuración de fragmentos obsoletos.
• Se aplicaron migraciones v1.6: los alias de entorno/etiqueta WUD, los formatos de autenticación heredados, los conmutadores de vigilancia obsoletos, los alias de plantilla, Kafka clientId y las configuraciones públicas de Hub/DHI de solo token con formato incorrecto ya no se ejecutan. Los alias de taxonomía de activación permanecen hasta una publicación final de advertencia de nivel de error.

Guía completa de migración en DEPRECATIONS.md.

• Política de actualización segura para la recreación: las puertas de madurez, las etiquetas/resúmenes omitidos y las posposiciones ahora sobreviven a la recreación de contenedores para cargas de trabajo de agentes locales y remotos.
• Confiabilidad de etiquetas fijadas: las etiquetas completamente fijadas detectan reconstrucciones de resúmenes de la misma etiqueta nuevamente, mientras que la interfaz de usuario puede mostrar una etiqueta de la misma familia más nueva y no procesable sin cambiar el comportamiento de actualización o activación.
• Recuperación de reversión: la creación de reemplazo, la conexión de red o el inicio fallidos ahora limpian el candidato antes de restaurar el contenedor original, y las fallas repetidas no pueden ocurrir en cascada a través de cambios de nombre de reversión anidados.
• Recreación de contenedores más segura: las direcciones MAC asignadas por Daemon ya no se fijan en los reemplazos, mientras que las direcciones MAC de la red primaria configuradas explícitamente permanecen conservadas.
• Encuesta de imágenes locales más silenciosa: las imágenes creadas o cargadas localmente sin resumen de registro omiten búsquedas remotas en lugar de generar errores de autorización recurrentes.

Historial completo en CHANGELOG.md.

✅ = compatible   ❌ = no compatible   ⚠️ = parcial/limitado   † = archivado, ya no se mantiene

Datos basados en documentación disponible públicamente a marzo de 2026. Se aceptan contribuciones si alguna información es inexacta.

Drydock v1.6 ya no carga variables de entorno WUD_* o etiquetas wud.* en tiempo de ejecución. Vuelva a escribirlos antes de iniciar el servicio actualizado; El estado persistente aún migra automáticamente. Utilice docker exec -it drydock node dist/index.js config migrate --dry-run para obtener una vista previa y luego docker exec -it drydock node dist/index.js config migrate --file .env --file compose.yaml para reescribir la configuración con los nombres DD_* y dd.*.

Esta dirección cubre al menos los próximos doce meses, hasta agosto de 2027. Solo temas generales; consulte CHANGELOG.md para conocer el detalle de cada versión.