Put Docker Socket Proxy in front of every container that needs the Docker API instead of mounting docker.sock directly

content/fr/3.serveex/2.core/2.docker.md

@@ -94,15 +94,52 @@ services:
     container_name: dockge
     ports:
       - 3555:5001 # le port accessible sur le réseau local sera 3555
-
+    environment:
+      - DOCKER_HOST=tcp://docker-socket-proxy:2375
+      - DOCKGE_STACKS_DIR=/srv/docker
     volumes:
-      - /var/run/docker.sock:/var/run/docker.sock
       - /srv/docker/dockge/data:/app/data
       - /srv/docker:/srv/docker
+    networks:
+      - dockge-internal
+    depends_on:
+      - docker-socket-proxy
+
+  docker-socket-proxy:
+    image: lscr.io/linuxserver/socket-proxy:latest
+    container_name: docker-socket-proxy-dockge
+    security_opt:
+      - no-new-privileges:true
+    networks:
+      - dockge-internal
+    volumes:
+      - /var/run/docker.sock:/var/run/docker.sock:ro
     environment:
-      - DOCKGE_STACKS_DIR=/srv/docker
+      - CONTAINERS=1
+      - IMAGES=1
+      - NETWORKS=1
+      - VOLUMES=1
+      - EXEC=1
+      - INFO=1
+      - SYSTEM=1
+      - POST=1
+      - ALLOW_START=1
+      - ALLOW_STOP=1
+      - ALLOW_RESTARTS=1
+    restart: unless-stopped
+    read_only: true
+    tmpfs:
+      - /run
+
+networks:
+  dockge-internal:
+    name: dockge-internal
 ```
 
+::warning
+Dockge a besoin d'accéder à l'API Docker pour gérer toutes les autres stacks de ce serveur, ce qui équivaut à un accès root sur l'hôte. Plutôt que de monter directement `/var/run/docker.sock`, cette config place **Docker Socket Proxy** devant, qui n'autorise que les permissions dont Dockge a réellement besoin (conteneurs, images, réseaux, volumes, exec, actions de cycle de vie), sur leur propre réseau interne. Dockge n'a pas d'authentification intégrée par défaut, n'exposez donc jamais le port `3555` au-delà de votre réseau local sans le placer derrière [TinyAuth](/serveex/security/tinyauth) ou [Authentik](/serveex/advanced/authentik).
+::
+
 Appuyez sur :kbd{value="Ctrl+O"}, puis :kbd{value="Enter"} pour enregistrer, et :kbd{value="Ctrl+X"} pour quitter.
 
 #### Lancer le conteneur
@@ -149,12 +186,44 @@ services:
       - WATCHTOWER_LABEL_ENABLE=true
       - WATCHTOWER_CLEANUP=true
       - WATCHTOWER_REMOVE_VOLUMES=true
+      - DOCKER_HOST=tcp://docker-socket-proxy:2375
       # Notifications Discord - décommentez si utilisées
       #- WATCHTOWER_NOTIFICATIONS=slack
       #- WATCHTOWER_NOTIFICATION_SLACK_IDENTIFIER=Watchtower
       #- WATCHTOWER_NOTIFICATION_SLACK_HOOK_URL=${WH_URL}
+    networks:
+      - watchtower-internal
+    depends_on:
+      - docker-socket-proxy
+
+  docker-socket-proxy:
+    image: lscr.io/linuxserver/socket-proxy:latest
+    container_name: docker-socket-proxy-watchtower
+    security_opt:
+      - no-new-privileges:true
+    networks:
+      - watchtower-internal
     volumes:
-      - /var/run/docker.sock:/var/run/docker.sock
+      - /var/run/docker.sock:/var/run/docker.sock:ro
+    environment:
+      - CONTAINERS=1
+      - IMAGES=1
+      - NETWORKS=1
+      - VOLUMES=1
+      - INFO=1
+      - SYSTEM=1
+      - POST=1
+      - ALLOW_START=1
+      - ALLOW_STOP=1
+      - ALLOW_RESTARTS=1
+    restart: unless-stopped
+    read_only: true
+    tmpfs:
+      - /run
+
+networks:
+  watchtower-internal:
+    name: watchtower-internal
 ```
 
 ::warning
@@ -162,6 +231,10 @@ services:
 `WATCHTOWER_REMOVE_VOLUMES=true` supprime les volumes anonymes d'un conteneur dès qu'il est mis à jour. Combiné à un tag `latest`, une mise à jour automatique peut silencieusement effacer les données de toute app qui stocke encore quelque chose dans un volume anonyme (sans nom) plutôt qu'un bind mount.
 ::
 
+::note
+Cette config place **Docker Socket Proxy** devant l'API Docker plutôt que de monter directement `/var/run/docker.sock`, afin que Watchtower n'obtienne que les permissions dont il a réellement besoin (lister/tirer les images, recréer les conteneurs) plutôt qu'un accès root complet à l'hôte.
+::
+
 #### Renseigner vos variables d'environnement
 
 Remplissez la section `.env` dans Dockge avec ce qui suit :