Le conteneur a changé tout seul : ce que promet vraiment l’étiquette « latest »

Vous n’avez rien mis à jour. Vous avez redémarré le conteneur et il se comporte autrement : un réglage a disparu, une interface a changé, une extension ne marche plus. Ce n’est pas une panne. latest n’est pas une version, c’est un pointeur, et ce qu’il désigne, ce n’est pas vous qui le décidez.

Ce que l’étiquette promet vraiment

latest ne veut pas dire « la dernière version stable ». Cela veut dire « ce que l’éditeur a publié en dernier ». Certains y placent la version stable, d’autres une compilation de développement. L’étiquette ne permet pas de faire la différence.

Trois conséquences en découlent, et vous les rencontrez toutes les trois au quotidien.

Même fichier, résultat différent. Deux machines peuvent avoir un fichier de configuration identique et exécuter des versions différentes, parce qu’elles ont téléchargé à des moments différents. C’est de là que vient le plus souvent la phrase « chez moi ça marche ».

Vous ne choisissez pas le moment du changement. Le conteneur se met à jour dès qu’il est recréé. La nuit où vous l’avez redémarré parce qu’un disque était plein, vous avez peut-être sauté une version sans le voir.

Quand ça casse, vous ne pouvez pas revenir. C’est le plus lourd. Si vous ne savez pas d’où vous veniez, vous ne pouvez pas y retourner. Il ne vous reste que la phrase « hier ça marchait ».

L’enjeu n’est pas la nouvelle version, c’est le retour

Figer une version, ce n’est pas « être prudent ». Figer crée un point de retour. Dans une installation figée, une montée de version est une décision que vous avez prise, et toute décision prise peut être défaite.

Le prix est clair : il vous faut désormais faire la mise à jour vous-même. C’était précisément l’objectif.

Une étiquette peut être déplacée, une empreinte non

Une étiquette peut être déplacée vers autre chose par l’éditeur. Ce que vous avez téléchargé hier sous 1.2 peut donc en théorie différer de ce que vous téléchargez aujourd’hui sous 1.2. Si vous voulez vraiment dire « exactement ceci », figez l’empreinte de l’image plutôt que l’étiquette. C’est long et laid, mais c’est la seule marque qui ne peut pas être déplacée.

Pour la plupart des installations, figer un numéro de version suffit. L’empreinte sert aux cas où vous devez reproduire exactement la même chose des années plus tard.

L’objection honnête

« Si je fige, je rate les correctifs de sécurité. » Vrai, si vous figez et oubliez. Figer n’est pas une stratégie en soi, c’est la moitié d’une habitude ; l’autre moitié consiste à lire régulièrement les notes de version. Figer et oublier est pire que rester sur latest, car vous prenez du retard sans le savoir.

Le test est simple : demandez-vous quand vous avez mis ce conteneur à niveau pour la dernière fois. Sans réponse, le problème n’est pas le figeage, c’est votre agenda.

Le filet de sécurité côté Proxmox

Le conteneur se trouve dans une machine virtuelle ou un conteneur. Cela vous donne ce que le monde des conteneurs n’offre pas : prendre un instantané avant la montée de version. Si elle se passe mal, vous rembobinez non pas le conteneur mais la machine en dessous.

Cela ne remplace pas le figeage, mais couvre aussi ce que vous n’avez pas figé. L’ordre à transformer en habitude : d’abord l’instantané, puis la montée de version, puis vérifier que cela fonctionne vraiment.

Ce que fait Atlas

Quand vous collez un fichier de configuration dans Atlas, il le lit avant de l’exécuter. Les images sans version figée, c’est-à-dire celles qui portent latest ou aucune étiquette, sont signalées comme un avertissement.

C’est délibérément un avertissement, pas un blocage. Figer est une préférence et cette préférence vous appartient ; le rôle du produit n’est pas de décider mais de rendre la décision visible. Les choses vraiment dangereuses, comme donner au conteneur l’accès de commande du serveur ou monter le répertoire racine du serveur, sont signalées dans une autre couleur et un autre langage.

Un détail compte : cette lecture se fait côté serveur. Contourner l’interface et envoyer le fichier directement ne supprime donc pas l’avertissement. Un avertissement qui ne vit que sur l’écran n’est pas un avertissement.