Put Docker Socket Proxy in front of every container that needs the Docker API instead of mounting docker.sock directly

content/fr/3.serveex/4.monitoring/2.dozzle.md

@@ -43,10 +43,41 @@ services:
       - .env
     environment:
       - DOZZLE_HOSTNAME=${DOMAIN}
+      - DOCKER_HOST=tcp://docker-socket-proxy:2375
+    networks:
+      - dozzle-internal
+    depends_on:
+      - docker-socket-proxy
+
+  docker-socket-proxy:
+    image: lscr.io/linuxserver/socket-proxy:latest
+    container_name: docker-socket-proxy-dozzle
+    security_opt:
+      - no-new-privileges:true
+    networks:
+      - dozzle-internal
     volumes:
-      - /var/run/docker.sock:/var/run/docker.sock
+      - /var/run/docker.sock:/var/run/docker.sock:ro
+    environment:
+      - CONTAINERS=1
+      - IMAGES=1
+      - INFO=1
+      - EVENTS=1
+      - ALLOW_LOGS=1
+    restart: unless-stopped
+    read_only: true
+    tmpfs:
+      - /run
+
+networks:
+  dozzle-internal:
+    name: dozzle-internal
 ```
 
+::note
+Dozzle ne fait que lire les logs des conteneurs, donc cette config place **Docker Socket Proxy** devant l'API Docker plutôt que de monter directement `/var/run/docker.sock`, en gardant `POST` totalement désactivé : Dozzle peut lister les conteneurs et streamer leurs logs, rien de plus.
+::
+
 ::tip{icon=""}
 ✨ __Astuce :__ ajoutez le label watchtower à chaque conteneur pour automatiser les mises à jour
 
@@ -189,7 +220,7 @@ Appuyez sur :kbd{value="Ctrl+O"}, puis :kbd{value="Enter"} pour enregistrer, et
 Et voilà, Dozzle est maintenant exposé !
 
 ## Protéger Dozzle avec TinyAuth
-Ajoutez la vérification forward-auth de [TinyAuth](/serveex/security/tinyauth) directement dans `dozzle.subdomain.conf`, de la même façon que dans [le tutoriel TinyAuth](/serveex/security/tinyauth#protecting-an-app-via-reverse-proxy) :
+Ajoutez la vérification forward-auth de [TinyAuth](/serveex/security/tinyauth) directement dans `dozzle.subdomain.conf`, de la même façon que dans [le tutoriel TinyAuth](/serveex/security/tinyauth#protéger-une-application-via-le-reverse-proxy) :
 
 ```nginx [dozzle.subdomain.conf]{26-38,41-42}
 ## Version 2023/12/19
@@ -259,11 +290,11 @@ server {
 }
 ```
 
-::note{to="/serveex/security/tinyauth#exposing-tinyauth-with-swag"}
+::note{to="/serveex/security/tinyauth#exposer-tinyauth-avec-swag"}
 
 Le bloc `location /tinyauth` s'exécute dans le conteneur de SWAG lui-même, SWAG doit donc être sur le réseau Docker de TinyAuth pour le joindre par son nom (`tinyauth` ici). Cela devrait déjà être en place depuis **l'exposition de TinyAuth**. Si vous rencontrez une erreur, revérifiez que le fichier compose de SWAG a toujours ce réseau rattaché.
 ::
 
 ::tip{icon=""}
-✨ __Astuce :__ vous pouvez protéger cette application avec [Authentik](/serveex/advanced/authentik) plutôt que TinyAuth, en ouvrant `dozzle.subdomain.conf` et en retirant le `#` devant `include /config/nginx/authentik-server.conf;`{lang=nginx} et `include /config/nginx/authentik-location.conf;`{lang=nginx}. N'oubliez pas de [créer une application et un provider dans Authentik](/serveex/advanced/authentik#protecting-an-app-via-reverse-proxy).
+✨ __Astuce :__ vous pouvez protéger cette application avec [Authentik](/serveex/advanced/authentik) plutôt que TinyAuth, en ouvrant `dozzle.subdomain.conf` et en retirant le `#` devant `include /config/nginx/authentik-server.conf;`{lang=nginx} et `include /config/nginx/authentik-location.conf;`{lang=nginx}. N'oubliez pas de [créer une application et un provider dans Authentik](/serveex/advanced/authentik#protéger-une-app-par-reverse-proxy).
 ::