Nodvard Deck 0.13.0: Docker-Ausbau, Handy-Oberfläche und strengere Sicherheit

[nicobenks2006-lgtm]

Deutsch

Das Wichtigste

Ein großes Release mit neuen Docker-Funktionen, einer Oberfläche, die am Handy benutzbar ist, und mehreren Sicherheitsverschärfungen. Dazu kommt Nodvard Dock als eigene, schlanke Ausgabe nur für Docker.

• Docker: Netze anlegen und Container verbinden, Images per Name holen, eigene Stack-Vorlagen, Container sortieren, Stacks aus Git mit Prüfung nach Zeitplan.
• Handy: Docker, Shield, Inventar, Gameserver, Meldungen, Aktionen, Dateien und die Übersicht zeigen ihre Einträge als Karten statt als abgeschnittene Tabellen. Die Browser-Leiste verdeckt das Seitenende nicht mehr.
• Sicherheit: Strengere Inhaltsrichtlinie im Browser, sudo startet die Hilfsskripte nur noch in der geprüften Fassung, Stacks aus Git verbinden sich nur mit der geprüften Adresse, Warnung bei unverschlüsseltem Zugriff auch hinter einem lokalen Proxy.
• Updates: Deck meldet Sicherheitsupdates einmal rot und zeigt bei neuen Versionen, was sie bringen. Der Inhaber kann dem automatischen Einspielen von Sicherheitsupdates mit Passwort und Zwei-Faktor-Code zustimmen.
• Nodvard Dock: Eigener Name, eigene Seiten, eigene Anleitung. Nicht verfügbare Funktionen sind auch bei direkten Aufrufen gesperrt.

Was du tun musst

• Server-Einrichtung einmal wiederholen: Die sudo-Regel startet die Hilfsskripte von Nodvard Deck ab dem nächsten Einrichten nur noch in genau der Fassung, die beim Einrichten auf den Server kam. Führe den Einrichtungsbefehl auf jedem Server einmal neu aus, damit die Prüfsumme gesetzt ist. Bis dahin laufen die Server wie bisher. Mit sudo-rs, dem Standard ab Ubuntu 25.10, geht die Prüfsumme nicht.
• Neu anmelden: Die Anmeldung im Browser nutzt nur noch das Cookie von Nodvard Deck. Wer von einer Version vor 0.6.2 aktualisiert oder Deck seitdem nicht neu geladen hat, meldet sich einmal neu an.
• Git-Server im eigenen Netz: Deck lädt Stacks aus Git nur noch von öffentlichen Adressen. Für Gitea oder ähnliche Server im Heimnetz schaltest du in den Einstellungen des Moduls Docker unter „Erweitert“ den Schalter „Git-Server im eigenen Netz erlauben“ ein.
• Alte Namen in deploy/.env: deploy_pi.sh benennt LATTICE_* auf dem Zielrechner automatisch in NODVARD_DECK_* um und behält eine Sicherungskopie. Wer von Hand ausliefert, benennt die Werte selbst um.

Sicherheit

• Inhaltsrichtlinie: Die Oberfläche sperrt fremde Quellen und nicht freigegebene Skripte und Stile. Konsole, Erweiterungen und Dateivorschauen bleiben nutzbar. Hochgeladene SVG-Logos behalten ihre Farben, zu große Logos und Logos mit unzulässigen Stilen werden verständlich abgelehnt.
• Hilfsskripte mit Prüfsumme: sudo führt die Skripte von Nodvard Deck nur noch in der Fassung aus, die beim Einrichten auf den Server kam. Der Shield-Helfer wird bei der Einrichtung wieder mitgeliefert, damit eingeschränkte sudo-Rechte nicht unnötig erweitert werden.
• Stacks aus Git: Deck prüft vor dem Holen, wohin der Name des Git-Servers wirklich zeigt, und verbindet sich nur mit genau dieser Adresse. Hinter einem Proxy (HTTPS_PROXY) holt Deck nur von Adressen aus Zahlen; einen Git-Server mit Namen trägst du unter NO_PROXY ein.
• Unverschlüsselter Zugriff: Die Warnung erscheint auch, wenn ein Proxy Deck über eine lokale Adresse anspricht oder die ursprüngliche Geräteadresse fehlt.
• Browser-Cache: Antworten mit Anmeldedaten und Kontoinformationen dürfen nicht mehr im Browser-Cache liegen.
• Geheimnisse: Ein geändertes Passwort oder Token gilt sofort in allen Modulen, ohne Neustart.

Neu

• Docker-Netze: Im Reiter Netze legst du ein Netz an, auf Wunsch nur intern, und verbindest oder trennst Container. Die Rückfrage warnt, wenn ein Container danach ohne Netz wäre oder zu einem Stack gehört.
• Image holen: Im Reiter Images lädt Docker ein Image anhand von Name und Tag, private Images mit der Anmeldung unter Registries. Scheitert es, steht der Grund da.
• Eigene Stack-Vorlagen: Eine Compose-Datei lässt sich als Vorlage speichern und bei neuen Stacks wiederverwenden. Vorlagen enthalten nie Umgebungswerte. Feste Passwörter und Tokens werden beim Speichern abgelehnt.
• Stacks aus Git prüfen: Auf Wunsch prüft Docker nach Zeitplan, ob es im Repository einen neuen Stand gibt, und schickt eine Nachricht. Ein Knopf prüft sofort.
• Sicherheitsupdates: Deck meldet ein gefundenes Sicherheitsupdate einmal rot, mit Meldungskanal auch als Push. Der Inhaber kann mit Passwort und Zwei-Faktor-Code zustimmen, dass Deck Sicherheitsupdates künftig selbst einspielt.
• Art eines Updates: Bei einer neuen Version steht, was sie bringt: Sicherheitsupdate, Fehlerbehebungen, neue Funktionen oder Verbesserungen.
• Push-Meldungen zu Sicherheitsupdates: Sie lassen sich je Art ein- und ausschalten und mit einer Priorität versehen.

Behoben

• Handy: Karten statt Tabellen bei Docker, Shield, Inventar, Gameserver, Meldungen, Aktionen und Dateien. Die Serverliste passt auf den Bildschirm, der Kopier-Knopf beim Join-Code ragt nicht mehr aus der Karte, die Browser-Leiste verdeckt das Seitenende nicht mehr.
• Proxmox: Die Serverliste zeigt bei laufenden Gästen CPU, Arbeitsspeicher und Laufzeit statt Strichen, der Konsolenknopf bleibt sichtbar, ungültige Messwerte betreffen nur den jeweiligen Server. Knoten und LXC-Container zeigen auch die Platte.
• Nginx Proxy Manager: Abgelaufene Zertifikate stehen nur noch einmal in der Liste, mit der Zeit seit Ablauf.
• Updates: Freigegebene Updates bleiben installierbar, wenn ältere Versionsdaten langsam laden. Ein Wechsel zwischen Stable und Beta meldet Sicherheitsupdates nicht doppelt, eine laufende Suche überschreibt eine gerade gespeicherte Zustimmung nicht.
• Docker-Seite: Ergebnisse, Fehler und Ablehnungsgründe bleiben nach dem Neuladen sichtbar, auch nach fremder Freigabe und beim Zuklappen des Containerbereichs.
• Module mit neuem Namen: Sie finden ihre gespeicherten Dateien auch dann, wenn unter dem neuen Namen nur ein leerer Ordner liegt.
• Apps: Ein erkannter Dienst, den es mit derselben Adresse schon als eigene App gibt, steht nicht mehr doppelt da.
• Push-Versand: Gibt die Datenbankverbindung vor dem Senden frei.
• Nodvard Dock: Eigener Name in Titel, Anmeldung und Einrichtung, keine allgemeine Serverauswahl in der Konsole, Updates-Seite sucht nach dem eigenen Image, kein Schalter für selbstständige Sicherheitsupdates.

Verbessert

• Anmeldeseite: Fehler stehen direkt am Feld, Tastaturbedienung und Lesbarkeit sind besser.
• Server-Zustand: CPU-Takt mit Durchschnitt, Minimum und Maximum, lesbare MHz-Angaben je Kern.
• Docker: Container lassen sich nach Zustand, Status, CPU oder RAM sortieren.
• Oberfläche: Dienstseiten haben oben Knöpfe statt Links, Dokumente ein „+ Tag“, ungelesene Meldungen einen farbigen Streifen, die Zeitzonenliste ist zugeklappt, der Einrichtungsassistent kopiert Befehle per Knopf, ein Server ohne Zugang führt gleich zu „Zugang einrichten“.
• Über-Seite: Hilfe und Lizenz stehen direkt unter der Installation, im Änderungsprotokoll ist nur die laufende Version aufgeklappt.
• Shield-Helfer: kleiner und übersichtlicher, der Einrichtungsbefehl ist kürzer. Unveränderliche Systeme wie Bazzite oder Fedora Atomic bekommen eine Anleitung statt eines Fehlers.
• Anleitungen: Erst-Einrichtung neu gegliedert mit Schnellstart, neue Anleitung für Tailscale, Datenschutz-Abschnitte für Jellyfin, Plex und qBittorrent, Projektübersicht auf Deutsch und Englisch, Anleitung für Nodvard Dock.
• Ausliefern: Ausliefern, Sichern und Einspielen brechen mit Hinweis ab, solange auf dem Rechner noch eine Version vor 0.6 liegt.

Gut zu wissen

• Nodvard Dock: Erscheint als eigenes Image mit eigener Anleitung.
• Vollständige Liste: Alle Änderungen stehen in Nodvard Deck unter Einstellungen, Über Nodvard Deck, Änderungsprotokoll.

Update-Helfer / Update helper

ghcr.io/nodvard/deck-updater@sha256:8f93ad7a4381b8de9b2f5eb4435655b48ee2325ff70f077b7a74198cf2eacd53 (Version 0.13.0)

Die Datei compose.standalone-mit-helfer.yml an diesem Release nennt genau diesen Helfer. Vergleichen kannst du den Digest mit docker buildx imagetools inspect ghcr.io/nodvard/deck-updater:0.13.0 (Zeile „Digest“).

The file compose.standalone-mit-helfer.yml attached to this release pins exactly this helper. Compare the digest with docker buildx imagetools inspect ghcr.io/nodvard/deck-updater:0.13.0 (line “Digest”).

---

This discussion was created from the release Nodvard Deck 0.13.0: Docker-Ausbau, Handy-Oberfläche und strengere Sicherheit.