sockguard est un filtre de socket Docker à refus par défaut du même écosystème CodesWhat, avec un préréglage conçu pour drydock :

services:
  drydock:
    image: codeswhat/drydock
    depends_on:
      sockguard:
        condition: service_healthy
    environment:
      - DD_WATCHER_LOCAL_HOST=sockguard
      - DD_WATCHER_LOCAL_PORT=2375
      - DD_AUTH_BASIC_ADMIN_USER=admin
      - "DD_AUTH_BASIC_ADMIN_HASH=<paste-argon2id-hash>"
    ports:
      - 3000:3000

  sockguard:
    image: codeswhat/sockguard
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - ./sockguard.yaml:/etc/sockguard/config.yaml:ro
    environment:
      - SOCKGUARD_CONFIG_FILE=/etc/sockguard/config.yaml
    healthcheck:
      test: wget --spider http://localhost:2375/version || exit 1
      interval: 5s
      timeout: 3s
      retries: 3
      start_period: 5s
    restart: unless-stopped

Voir le préréglage app/configs/portwing.yaml de sockguard pour un sockguard.yaml de départ (le même préréglage portwing est livré dans ses propres exemples).

docker run -d \
  --name drydock \
  -p 3000:3000 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e DD_AUTH_BASIC_ADMIN_USER=admin \
  -e "DD_AUTH_BASIC_ADMIN_HASH=<paste-argon2id-hash>" \
  codeswhat/drydock:latest

Avertissement : L'accès direct au socket accorde au conteneur un contrôle total sur le démon Docker. Utilisez la configuration du proxy de socket ci-dessus pour les déploiements de production. Consultez le Docker Socket Security guide pour toutes les options, y compris TLS distant et Docker sans racine.

• Mises à jour tenant compte des dépendances : les labels ou métadonnées Compose construisent un graphe de dépendances validé, prévisualisent les vagues exactes et exécutent les mises à jour ou redémarrages des dépendants dans un ordre déterministe, avec gestion sûre des cycles, échecs et aperçus périmés. (Discussion #219)
• Expérience opérateur : PWA installable, liens de ports nommés cliquables, durée d'exécution des conteneurs en direct, raccourcis clavier et détection temporisée des nouveaux conteneurs.
• Migration incompatible des déclencheurs : DD_TRIGGER_* bloque désormais le démarrage et les anciens labels dd.trigger.include / dd.trigger.exclude n'acheminent plus de tâches ; utilisez DD_ACTION_*, DD_NOTIFICATION_* et leurs labels à portée dédiée.
• Renforcement de la sécurité et du cycle de vie : l'authentification, les requêtes d'agents, les journaux, les WebSockets et les requêtes de registres sont explicitement bornés ; les valeurs sensibles de commandes et hooks sont masquées ; la découverte Home Assistant se resynchronise après le démarrage et retire les tâches des fournisseurs sans publication périmée. (#708)
• Historique des étoiles propriétaire : le fournisseur même origine /api/star-history sert les graphiques Drydock, Sockguard et Portwing autorisés sans dépendre d'un service tiers.

Notes complètes dans CHANGELOG.md.

• Le transport Edge/agent Portwing arrive à maturité avec les vérifications et mises à jour Docker natives pilotées par le contrôleur pour Portwing 0.9.0+, les journaux Edge continus, la signature Ed25519 v2 et les noms d'affichage liés à la clé de l'agent. (#632, #637)
• Politique de mise à jour déclarative avec stabilisation de maturité : priorité dd.updatePolicy.* à trois niveaux, compte à rebours et notification maturity-cleared. (Discussion #307, Discussion #406)
• Modèles par règle, préférences de cloche et événement container-unhealthy, avec MQTT Home Assistant bidirectionnel dont le bouton Installer déclenche une véritable mise à jour. (Discussion #205, Discussion #198)
• Toutes les vues de liste principales sont adaptatives grâce à une DataTable partagée et un basculement table/carte persistant. (#498)
• Parité /api/v1 terminée : suppression de /api/* et WS /api/log/stream (410 Gone), avec le shim facultatif DD_COMPAT_WUDCARD. (Discussion #469)
• Sécurité renforcée : accès anonyme fermé lors des mises à niveau, protection SSRF des déclencheurs HTTP, contrôle d'origine WebSocket complet et cookie drydock.sid.

Notes complètes dans CHANGELOG.md.

• Comparaison des digests par dépôts correspondants : getOrderedRepoDigests filtre les RepoDigests et répare automatiquement les ancres obsolètes. (#670)
• nanoid fixé à 3.3.18 dans tous les espaces de travail pour CVE-2026-67213 et CVE-2026-67214. (#673)
• Star History auto-hébergé via la route même origine /api/star-history, mise en cache avec SVG de secours. (#672)
• Mise à jour des images de base : node:24-alpine passe à Node 24.19.0 et l'étape aquasec/trivy à 0.73.0. (#682)
• Résolution des alias d'icônes et contrôle exhaustif du bundle. (#683)

• Dépendances de sécurité actualisées : brace-expansion 5.0.9, ip-address 10.3.1 et fast-uri 4.1.2. (#659)
• Horloge de maturité cohérente : l'affichage et le blocage utilisent updatePolicy.maturityMinAgeDays, et les erreurs de date passent de debug à warn. (#604)
• Grâce d'enregistrement des agents pour les blocages transitoires agent-mismatch et no-update-trigger-configured, tout en conservant une admission fermée. (#605)
• Journaux WebSocket et accès anonyme compatibles lorsque ce mode est enregistré. (#636)
• Réponses 501 explicites pour les actions sans transport Docker du contrôleur. (#637)

• Transport Portwing : les marqueurs transport=docker-api, execution=controller, events=portwing activent Standard HTTP ou Edge authentifié pour les vérifications, mises à jour, actions de cycle de vie, aperçus et restaurations pilotés par le contrôleur. Portwing reste la source des événements de cycle de vie, et l'inventaire brut ne peut pas effacer les résultats de mise à jour enrichis par le contrôleur. (#632, #637, Portwing #76)
• Notifications — Modèles de titre et de corps par règle/par fournisseur avec aperçu en direct, ainsi que des catégories de cloches dans l'application basées sur un audit et des seuils de gravité de mise à jour.
• Tableau de bord — Remplacement de la grille CSS sans dépendance avec réorganisation souris/tactile, redimensionnement limité, mises en page réactives, visibilité des widgets, réinitialisation et synchronisation facultative des préférences entre appareils.
• Politique de mise à jour — Priorité déclarative de l'observateur/étiquette/interface utilisateur, remplacement/annulation de la piste d'audit, compte à rebours de maturité/remplacement manuel et visibilité des informations sur les balises épinglées avec une vue empilée des balises actuelles → plus récentes.
• Ressources du conteneur — La colonne Ressources reste visible par défaut, mais peut être masquée durablement ; les liens vers la source, les notes de version et le registre restent disponibles dans le menu Plus et les pieds de carte.
• Performances et récupération — Déduplication de liste de balises par interrogation, projections globales plus légères, historiques de journaux virtualisés volumineux, basculement de journaux en direct immuable, délai d'expiration de l'authentification, migrations complètes des préférences et auto-réparation des fragments obsolètes.
• Migrations v1.6 appliquées — Les alias d'environnement/label WUD, les formats d'authentification hérités, les commutateurs d'observateur obsolètes, les alias de modèle, Kafka clientId et les configurations publiques Hub/DHI malformées réservées aux jetons uniquement ne s'exécutent plus. Les alias de taxonomie de déclencheur restent conservés pour une dernière version d'avertissement de niveau d'erreur.

Conseils de migration complets dans DEPRECATIONS.md.

• Politique de mise à jour sécurisée pour les loisirs — Les portes de maturité, les balises/récapitulatifs ignorés et les répétitions survivent désormais à la récréation des conteneurs pour les charges de travail des agents locaux et distants.
• Fiabilité des balises épinglées — Les balises entièrement épinglées détectent à nouveau les reconstructions de résumé de même balise, tandis que l'interface utilisateur peut afficher une balise de même famille plus récente et non exploitable sans modifier le comportement de mise à jour ou de déclenchement.
• Récupération par restauration — L'échec de la création d'un remplacement, de l'attachement au réseau ou du démarrage nettoie désormais le candidat avant de restaurer le conteneur d'origine, et les échecs répétés ne peuvent pas se répercuter sur les renommages de restauration imbriqués.
• Recréation de conteneurs plus sûre — Les adresses MAC attribuées par le démon ne sont plus épinglées sur les remplacements, tandis que les adresses MAC du réseau principal explicitement configurées restent préservées.
• Interrogation d'images locales plus silencieuse — Les images créées ou chargées localement sans résumé de registre ignorent les recherches à distance au lieu de générer des erreurs d'autorisation récurrentes.

Historique complet dans CHANGELOG.md.

✅ = pris en charge   ❌ = non pris en charge   ⚠️ = partiel / limité   † = archivé, n'est plus conservé

Données basées sur une documentation accessible au public en mars 2026. Les contributions sont les bienvenues si des informations sont inexactes.

Drydock v1.6 ne charge plus les variables d'environnement WUD_* ou les étiquettes wud.* au moment de l'exécution. Réécrivez-les avant de démarrer le service mis à niveau ; l'état persistant migre toujours automatiquement. Utilisez docker exec -it drydock node dist/index.js config migrate --dry-run pour prévisualiser, puis docker exec -it drydock node dist/index.js config migrate --file .env --file compose.yaml pour réécrire la configuration en dénomination DD_* et dd.*.

Cette orientation couvre au moins les douze prochains mois, jusqu'en août 2027. Thèmes généraux uniquement ; consultez CHANGELOG.md pour les détails de chaque version.