Nginx est un reverse proxy \u00e9prouv\u00e9, mais dans une stack Docker multi-conteneurs qui \u00e9volue souvent, sa configuration statique devient vite fastidieuse : chaque nouveau service n\u00e9cessite de modifier un fichier, de recharger le d\u00e9mon, de g\u00e9rer manuellement les certificats TLS. Traefik adopte une philosophie inverse : il observe les labels des conteneurs Docker pour configurer ses routes dynamiquement, renouvelle les certificats Let’s Encrypt automatiquement, et expose un tableau de bord en temps r\u00e9el. Traefik v3, sorti en 2024, apporte des am\u00e9liorations significatives pour les environnements Kubernetes et Docker modernes.<\/p>\n\n\n\n
La diff\u00e9rence fondamentale est le mod\u00e8le de configuration. Nginx est un fichier statique qu’on recharge, donc chaque changement n\u00e9cessite une intervention. Traefik interroge en continu le socket Docker (ou l’API Kubernetes) et reconfigure ses routes \u00e0 chaud d\u00e8s qu’un conteneur d\u00e9marre ou s’arr\u00eate. Dans une infrastructure compos\u00e9e d’une dizaine de services (CKAN, Keycloak, Nextcloud, Superset, Gitea, MinIO\u2026), cela change la maintenance en profondeur.<\/p>\n\n\n\n
L’autre avantage d\u00e9cisif est la gestion TLS native. Traefik int\u00e8gre le client ACME (Let’s Encrypt \/ ZeroSSL) et renouvelle les certificats de chaque service automatiquement, sans cron, sans certbot externe. Il supporte les challenges HTTP-01 et DNS-01, ce qui permet de certifier des services non expos\u00e9s publiquement en utilisant l’API DNS.<\/p>\n\n\n\n
En contrepartie, Nginx reste plus adapt\u00e9 pour les configurations tr\u00e8s sp\u00e9cifiques (r\u00e9\u00e9criture complexe d’URL, cache de proxy, gestion fine des headers HTTP) et offre de meilleures performances brutes en tant que serveur de fichiers statiques. Les deux outils ne sont pas exclusifs, une architecture courante place Traefik devant pour la terminaison TLS et la distribution vers les services, avec Nginx utilis\u00e9 \u00e0 l’int\u00e9rieur de certains services pour leurs besoins propres.<\/p>\n\n\n\n
Traefik s’articule autour de trois concepts centraux. Les entrypoints<\/strong> sont les ports d’\u00e9coute d\u00e9clar\u00e9s dans la configuration statique (port 80 HTTP, 443 HTTPS, 8080 dashboard). Les routers<\/strong> d\u00e9finissent les r\u00e8gles de correspondance entre une requ\u00eate entrante et un service backend, typiquement bas\u00e9es sur le hostname ou le chemin URL. Les services<\/strong> d\u00e9signent les groupes de conteneurs qui traitent les requ\u00eates, avec \u00e9quilibrage de charge int\u00e9gr\u00e9. Entre les routers et les services, des middlewares<\/strong> permettent d’appliquer des transformations : redirection HTTPS, authentification basique, rate limiting, ajout de headers de s\u00e9curit\u00e9.<\/p>\n\n\n\n Avec Docker, toute cette configuration se d\u00e9clare par des labels sur les conteneurs, sans toucher au fichier de configuration central de Traefik. C’est l’inversion de contr\u00f4le : c’est le service qui se d\u00e9clare aupr\u00e8s du proxy, et non l’administrateur qui configure le proxy pour chaque service.<\/p>\n\n\n\n La configuration statique de Traefik est minimale. On cr\u00e9e un fichier Pour qu’un service soit automatiquement pris en charge par Traefik, il suffit de lui ajouter les bons labels dans son propre Traefik d\u00e9tecte ce conteneur au d\u00e9marrage, cr\u00e9e le routeur, obtient le certificat TLS pour Les middlewares sont appliqu\u00e9s dans la cha\u00eene entre le routeur et le service. Quelques exemples utiles en production :<\/p>\n\n\n\n Headers de s\u00e9curit\u00e9<\/strong> \u2014 Ajouter automatiquement les en-t\u00eates HSTS, Content-Security-Policy et X-Frame-Options \u00e0 toutes les r\u00e9ponses d’un service :<\/p>\n\n\n\n Rate limiting<\/strong> : Limiter le nombre de requ\u00eates par IP pour prot\u00e9ger une API ou un formulaire de connexion :<\/p>\n\n\n\n Forward Auth<\/strong> : D\u00e9l\u00e9guer l’authentification \u00e0 un service externe, typiquement Keycloak ou Authelia, avant de laisser passer la requ\u00eate vers le service final :<\/p>\n\n\n\n Traefik v3 (disponible depuis avril 2024) introduit plusieurs changements importants. Le support natif de HTTP\/3 (QUIC) est activable par entrypoint. La syntaxe des r\u00e8gles de routage gagne un op\u00e9rateur La migration depuis v2 est document\u00e9e et g\u00e9n\u00e9ralement sans friction pour les configurations Docker, les labels restent identiques. Les changements notables concernent principalement la gestion des plugins et quelques renommages dans la configuration statique.<\/p>\n\n\n\n Dans une stack auto-h\u00e9berg\u00e9e typique, Traefik occupe la position de point d’entr\u00e9e unique : un seul conteneur \u00e9coute sur les ports 80 et 443, distribue le trafic vers CKAN, Keycloak, Nextcloud, Superset, Gitea et MinIO en fonction du hostname. Chaque service dispose de son propre certificat TLS g\u00e9n\u00e9r\u00e9 automatiquement. Le tableau de bord Traefik (lui-m\u00eame prot\u00e9g\u00e9 par Basic Auth ou ForwardAuth) donne une vue en temps r\u00e9el des routes actives, de l’\u00e9tat des certificats, et des erreurs \u00e9ventuelles.<\/p>\n\n\n\n Cette architecture centralise la s\u00e9curit\u00e9 (TLS, headers, rate limiting) au niveau du proxy tout en laissant \u00e0 chaque \u00e9quipe ou service la responsabilit\u00e9 de d\u00e9clarer ses propres labels, une r\u00e9partition des responsabilit\u00e9s coh\u00e9rente avec les principes DevOps modernes.<\/p>","protected":false},"excerpt":{"rendered":" Traefik v3 : reverse proxy dynamique et d\u00e9couverte de services pour une stack Docker Nginx est un reverse proxy \u00e9prouv\u00e9, mais dans une stack Docker multi-conteneurs qui \u00e9volue souvent, sa configuration statique devient vite fastidieuse : chaque nouveau service n\u00e9cessite de modifier un fichier, de recharger le d\u00e9mon, de g\u00e9rer manuellement les certificats TLS. Traefik adopte une […]<\/p>\n","protected":false},"author":1,"featured_media":2157,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"ocean_post_layout":"","ocean_both_sidebars_style":"","ocean_both_sidebars_content_width":0,"ocean_both_sidebars_sidebars_width":0,"ocean_sidebar":"","ocean_second_sidebar":"","ocean_disable_margins":"enable","ocean_add_body_class":"","ocean_shortcode_before_top_bar":"","ocean_shortcode_after_top_bar":"","ocean_shortcode_before_header":"","ocean_shortcode_after_header":"","ocean_has_shortcode":"","ocean_shortcode_after_title":"","ocean_shortcode_before_footer_widgets":"","ocean_shortcode_after_footer_widgets":"","ocean_shortcode_before_footer_bottom":"","ocean_shortcode_after_footer_bottom":"","ocean_display_top_bar":"default","ocean_display_header":"default","ocean_header_style":"","ocean_center_header_left_menu":"","ocean_custom_header_template":"","ocean_custom_logo":0,"ocean_custom_retina_logo":0,"ocean_custom_logo_max_width":0,"ocean_custom_logo_tablet_max_width":0,"ocean_custom_logo_mobile_max_width":0,"ocean_custom_logo_max_height":0,"ocean_custom_logo_tablet_max_height":0,"ocean_custom_logo_mobile_max_height":0,"ocean_header_custom_menu":"","ocean_menu_typo_font_family":"","ocean_menu_typo_font_subset":"","ocean_menu_typo_font_size":0,"ocean_menu_typo_font_size_tablet":0,"ocean_menu_typo_font_size_mobile":0,"ocean_menu_typo_font_size_unit":"px","ocean_menu_typo_font_weight":"","ocean_menu_typo_font_weight_tablet":"","ocean_menu_typo_font_weight_mobile":"","ocean_menu_typo_transform":"","ocean_menu_typo_transform_tablet":"","ocean_menu_typo_transform_mobile":"","ocean_menu_typo_line_height":0,"ocean_menu_typo_line_height_tablet":0,"ocean_menu_typo_line_height_mobile":0,"ocean_menu_typo_line_height_unit":"","ocean_menu_typo_spacing":0,"ocean_menu_typo_spacing_tablet":0,"ocean_menu_typo_spacing_mobile":0,"ocean_menu_typo_spacing_unit":"","ocean_menu_link_color":"","ocean_menu_link_color_hover":"","ocean_menu_link_color_active":"","ocean_menu_link_background":"","ocean_menu_link_hover_background":"","ocean_menu_link_active_background":"","ocean_menu_social_links_bg":"","ocean_menu_social_hover_links_bg":"","ocean_menu_social_links_color":"","ocean_menu_social_hover_links_color":"","ocean_disable_title":"default","ocean_disable_heading":"default","ocean_post_title":"","ocean_post_subheading":"","ocean_post_title_style":"","ocean_post_title_background_color":"","ocean_post_title_background":0,"ocean_post_title_bg_image_position":"","ocean_post_title_bg_image_attachment":"","ocean_post_title_bg_image_repeat":"","ocean_post_title_bg_image_size":"","ocean_post_title_height":0,"ocean_post_title_bg_overlay":0.5,"ocean_post_title_bg_overlay_color":"","ocean_disable_breadcrumbs":"default","ocean_breadcrumbs_color":"","ocean_breadcrumbs_separator_color":"","ocean_breadcrumbs_links_color":"","ocean_breadcrumbs_links_hover_color":"","ocean_display_footer_widgets":"default","ocean_display_footer_bottom":"default","ocean_custom_footer_template":"","osh_disable_topbar_sticky":"default","osh_disable_header_sticky":"default","osh_sticky_header_style":"default","osh_sticky_header_effect":"","osh_custom_sticky_logo":0,"osh_custom_retina_sticky_logo":0,"osh_custom_sticky_logo_height":0,"osh_background_color":"","osh_links_color":"","osh_links_hover_color":"","osh_links_active_color":"","osh_links_bg_color":"","osh_links_hover_bg_color":"","osh_links_active_bg_color":"","osh_menu_social_links_color":"","osh_menu_social_hover_links_color":"","ocean_post_oembed":"","ocean_post_self_hosted_media":"","ocean_post_video_embed":"","ocean_link_format":"","ocean_link_format_target":"self","ocean_quote_format":"","ocean_quote_format_link":"post","ocean_gallery_link_images":"on","ocean_gallery_id":[],"footnotes":""},"categories":[18],"tags":[],"class_list":["post-2156","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-devops","entry","has-media"],"yoast_head":"\nD\u00e9ploiement avec Docker Compose<\/h2>\n\n\n\n
traefik.yml<\/code> et un docker-compose.yml<\/code> :<\/p>\n\n\n\n# traefik.yml \u2014 configuration statique\napi:\n dashboard: true\n insecure: false\n\nentryPoints:\n web:\n address: \":80\"\n http:\n redirections:\n entryPoint:\n to: websecure\n scheme: https\n websecure:\n address: \":443\"\n\nproviders:\n docker:\n exposedByDefault: false\n network: traefik-public\n\ncertificatesResolvers:\n letsencrypt:\n acme:\n email: admin@example.com\n storage: \/letsencrypt\/acme.json\n httpChallenge:\n entryPoint: web<\/code><\/pre>\n\n\n\n# docker-compose.yml \u2014 Traefik v3\nservices:\n traefik:\n image: traefik:v3\n restart: unless-stopped\n ports:\n - \"80:80\"\n - \"443:443\"\n volumes:\n - \/var\/run\/docker.sock:\/var\/run\/docker.sock:ro\n - .\/traefik.yml:\/traefik.yml:ro\n - traefik-certs:\/letsencrypt\n networks:\n - traefik-public\n labels:\n - \"traefik.enable=true\"\n - \"traefik.http.routers.dashboard.rule=Host(`traefik.example.com`)\"\n - \"traefik.http.routers.dashboard.entrypoints=websecure\"\n - \"traefik.http.routers.dashboard.tls.certresolver=letsencrypt\"\n - \"traefik.http.routers.dashboard.service=api@internal\"\n - \"traefik.http.routers.dashboard.middlewares=auth\"\n - \"traefik.http.middlewares.auth.basicauth.users=admin:$$apr1$$...\"\n\nnetworks:\n traefik-public:\n external: true\n\nvolumes:\n traefik-certs:<\/code><\/pre>\n\n\n\nExposer un service derri\u00e8re Traefik<\/h2>\n\n\n\n
docker-compose.yml<\/code>. Exemple avec CKAN :<\/p>\n\n\n\nservices:\n ckan:\n image: ckan\/ckan-base:2.10\n networks:\n - traefik-public\n - internal\n labels:\n - \"traefik.enable=true\"\n - \"traefik.http.routers.ckan.rule=Host(`data.example.com`)\"\n - \"traefik.http.routers.ckan.entrypoints=websecure\"\n - \"traefik.http.routers.ckan.tls.certresolver=letsencrypt\"\n - \"traefik.http.services.ckan.loadbalancer.server.port=5000\"\n\nnetworks:\n traefik-public:\n external: true\n internal:<\/code><\/pre>\n\n\n\ndata.example.com<\/code>, et commence \u00e0 router le trafic, sans toucher \u00e0 la configuration centrale et sans recharger quoi que ce soit.<\/p>\n\n\n\nMiddlewares essentiels en production<\/h2>\n\n\n\n
- \"traefik.http.middlewares.secure-headers.headers.stsSeconds=31536000\"\n- \"traefik.http.middlewares.secure-headers.headers.stsIncludeSubdomains=true\"\n- \"traefik.http.middlewares.secure-headers.headers.frameDeny=true\"\n- \"traefik.http.middlewares.secure-headers.headers.contentTypeNosniff=true\"<\/code><\/pre>\n\n\n\n- \"traefik.http.middlewares.ratelimit.ratelimit.average=100\"\n- \"traefik.http.middlewares.ratelimit.ratelimit.burst=50\"<\/code><\/pre>\n\n\n\n- \"traefik.http.middlewares.keycloak-auth.forwardauth.address=https:\/\/auth.example.com\/verify\"\n- \"traefik.http.middlewares.keycloak-auth.forwardauth.trustForwardHeader=true\"<\/code><\/pre>\n\n\n\nNouveaut\u00e9s de Traefik v3<\/h2>\n\n\n\n
&&<\/code> pour combiner des conditions sur le hostname et le chemin. Le support des plugins WASM<\/em> permet d’\u00e9crire des middlewares personnalis\u00e9s dans n’importe quel langage compilable en WebAssembly, sans fork du binaire. C\u00f4t\u00e9 Kubernetes, le provider CRD est stabilis\u00e9 avec un support am\u00e9lior\u00e9 des IngressRoutes TCP et UDP.<\/p>\n\n\n\nTraefik dans une architecture compl\u00e8te<\/h2>\n\n\n\n