Nodvard Deck 0.13.0: Docker-Ausbau, Handy-Oberfläche und strengere Sicherheit

Deutsch

Das Wichtigste

Ein großes Release mit neuen Docker-Funktionen, einer Oberfläche, die am Handy benutzbar ist, und mehreren Sicherheitsverschärfungen. Dazu kommt Nodvard Dock als eigene, schlanke Ausgabe nur für Docker.

• Docker: Netze anlegen und Container verbinden, Images per Name holen, eigene Stack-Vorlagen, Container sortieren, Stacks aus Git mit Prüfung nach Zeitplan.
• Handy: Docker, Shield, Inventar, Gameserver, Meldungen, Aktionen, Dateien und die Übersicht zeigen ihre Einträge als Karten statt als abgeschnittene Tabellen. Die Browser-Leiste verdeckt das Seitenende nicht mehr.
• Sicherheit: Strengere Inhaltsrichtlinie im Browser, sudo startet die Hilfsskripte nur noch in der geprüften Fassung, Stacks aus Git verbinden sich nur mit der geprüften Adresse, Warnung bei unverschlüsseltem Zugriff auch hinter einem lokalen Proxy.
• Updates: Deck meldet Sicherheitsupdates einmal rot und zeigt bei neuen Versionen, was sie bringen. Der Inhaber kann dem automatischen Einspielen von Sicherheitsupdates mit Passwort und Zwei-Faktor-Code zustimmen.
• Nodvard Dock: Eigener Name, eigene Seiten, eigene Anleitung. Nicht verfügbare Funktionen sind auch bei direkten Aufrufen gesperrt.

Was du tun musst

• Server-Einrichtung einmal wiederholen: Die sudo-Regel startet die Hilfsskripte von Nodvard Deck ab dem nächsten Einrichten nur noch in genau der Fassung, die beim Einrichten auf den Server kam. Führe den Einrichtungsbefehl auf jedem Server einmal neu aus, damit die Prüfsumme gesetzt ist. Bis dahin laufen die Server wie bisher. Mit sudo-rs, dem Standard ab Ubuntu 25.10, geht die Prüfsumme nicht.
• Neu anmelden: Die Anmeldung im Browser nutzt nur noch das Cookie von Nodvard Deck. Wer von einer Version vor 0.6.2 aktualisiert oder Deck seitdem nicht neu geladen hat, meldet sich einmal neu an.
• Git-Server im eigenen Netz: Deck lädt Stacks aus Git nur noch von öffentlichen Adressen. Für Gitea oder ähnliche Server im Heimnetz schaltest du in den Einstellungen des Moduls Docker unter „Erweitert“ den Schalter „Git-Server im eigenen Netz erlauben“ ein.
• Alte Namen in deploy/.env: deploy_pi.sh benennt LATTICE_* auf dem Zielrechner automatisch in NODVARD_DECK_* um und behält eine Sicherungskopie. Wer von Hand ausliefert, benennt die Werte selbst um.

Sicherheit

• Inhaltsrichtlinie: Die Oberfläche sperrt fremde Quellen und nicht freigegebene Skripte und Stile. Konsole, Erweiterungen und Dateivorschauen bleiben nutzbar. Hochgeladene SVG-Logos behalten ihre Farben, zu große Logos und Logos mit unzulässigen Stilen werden verständlich abgelehnt.
• Hilfsskripte mit Prüfsumme: sudo führt die Skripte von Nodvard Deck nur noch in der Fassung aus, die beim Einrichten auf den Server kam. Der Shield-Helfer wird bei der Einrichtung wieder mitgeliefert, damit eingeschränkte sudo-Rechte nicht unnötig erweitert werden.
• Stacks aus Git: Deck prüft vor dem Holen, wohin der Name des Git-Servers wirklich zeigt, und verbindet sich nur mit genau dieser Adresse. Hinter einem Proxy (HTTPS_PROXY) holt Deck nur von Adressen aus Zahlen; einen Git-Server mit Namen trägst du unter NO_PROXY ein.
• Unverschlüsselter Zugriff: Die Warnung erscheint auch, wenn ein Proxy Deck über eine lokale Adresse anspricht oder die ursprüngliche Geräteadresse fehlt.
• Browser-Cache: Antworten mit Anmeldedaten und Kontoinformationen dürfen nicht mehr im Browser-Cache liegen.
• Geheimnisse: Ein geändertes Passwort oder Token gilt sofort in allen Modulen, ohne Neustart.

Neu

• Docker-Netze: Im Reiter Netze legst du ein Netz an, auf Wunsch nur intern, und verbindest oder trennst Container. Die Rückfrage warnt, wenn ein Container danach ohne Netz wäre oder zu einem Stack gehört.
• Image holen: Im Reiter Images lädt Docker ein Image anhand von Name und Tag, private Images mit der Anmeldung unter Registries. Scheitert es, steht der Grund da.
• Eigene Stack-Vorlagen: Eine Compose-Datei lässt sich als Vorlage speichern und bei neuen Stacks wiederverwenden. Vorlagen enthalten nie Umgebungswerte. Feste Passwörter und Tokens werden beim Speichern abgelehnt.
• Stacks aus Git prüfen: Auf Wunsch prüft Docker nach Zeitplan, ob es im Repository einen neuen Stand gibt, und schickt eine Nachricht. Ein Knopf prüft sofort.
• Sicherheitsupdates: Deck meldet ein gefundenes Sicherheitsupdate einmal rot, mit Meldungskanal auch als Push. Der Inhaber kann mit Passwort und Zwei-Faktor-Code zustimmen, dass Deck Sicherheitsupdates künftig selbst einspielt.
• Art eines Updates: Bei einer neuen Version steht, was sie bringt: Sicherheitsupdate, Fehlerbehebungen, neue Funktionen oder Verbesserungen.
• Push-Meldungen zu Sicherheitsupdates: Sie lassen sich je Art ein- und ausschalten und mit einer Priorität versehen.

Behoben

• Handy: Karten statt Tabellen bei Docker, Shield, Inventar, Gameserver, Meldungen, Aktionen und Dateien. Die Serverliste passt auf den Bildschirm, der Kopier-Knopf beim Join-Code ragt nicht mehr aus der Karte, die Browser-Leiste verdeckt das Seitenende nicht mehr.
• Proxmox: Die Serverliste zeigt bei laufenden Gästen CPU, Arbeitsspeicher und Laufzeit statt Strichen, der Konsolenknopf bleibt sichtbar, ungültige Messwerte betreffen nur den jeweiligen Server. Knoten und LXC-Container zeigen auch die Platte.
• Nginx Proxy Manager: Abgelaufene Zertifikate stehen nur noch einmal in der Liste, mit der Zeit seit Ablauf.
• Updates: Freigegebene Updates bleiben installierbar, wenn ältere Versionsdaten langsam laden. Ein Wechsel zwischen Stable und Beta meldet Sicherheitsupdates nicht doppelt, eine laufende Suche überschreibt eine gerade gespeicherte Zustimmung nicht.
• Docker-Seite: Ergebnisse, Fehler und Ablehnungsgründe bleiben nach dem Neuladen sichtbar, auch nach fremder Freigabe und beim Zuklappen des Containerbereichs.
• Module mit neuem Namen: Sie finden ihre gespeicherten Dateien auch dann, wenn unter dem neuen Namen nur ein leerer Ordner liegt.
• Apps: Ein erkannter Dienst, den es mit derselben Adresse schon als eigene App gibt, steht nicht mehr doppelt da.
• Push-Versand: Gibt die Datenbankverbindung vor dem Senden frei.
• Nodvard Dock: Eigener Name in Titel, Anmeldung und Einrichtung, keine allgemeine Serverauswahl in der Konsole, Updates-Seite sucht nach dem eigenen Image, kein Schalter für selbstständige Sicherheitsupdates.

Verbessert

• Anmeldeseite: Fehler stehen direkt am Feld, Tastaturbedienung und Lesbarkeit sind besser.
• Server-Zustand: CPU-Takt mit Durchschnitt, Minimum und Maximum, lesbare MHz-Angaben je Kern.
• Docker: Container lassen sich nach Zustand, Status, CPU oder RAM sortieren.
• Oberfläche: Dienstseiten haben oben Knöpfe statt Links, Dokumente ein „+ Tag“, ungelesene Meldungen einen farbigen Streifen, die Zeitzonenliste ist zugeklappt, der Einrichtungsassistent kopiert Befehle per Knopf, ein Server ohne Zugang führt gleich zu „Zugang einrichten“.
• Über-Seite: Hilfe und Lizenz stehen direkt unter der Installation, im Änderungsprotokoll ist nur die laufende Version aufgeklappt.
• Shield-Helfer: kleiner und übersichtlicher, der Einrichtungsbefehl ist kürzer. Unveränderliche Systeme wie Bazzite oder Fedora Atomic bekommen eine Anleitung statt eines Fehlers.
• Anleitungen: Erst-Einrichtung neu gegliedert mit Schnellstart, neue Anleitung für Tailscale, Datenschutz-Abschnitte für Jellyfin, Plex und qBittorrent, Projektübersicht auf Deutsch und Englisch, Anleitung für Nodvard Dock.
• Ausliefern: Ausliefern, Sichern und Einspielen brechen mit Hinweis ab, solange auf dem Rechner noch eine Version vor 0.6 liegt.

Gut zu wissen

• Nodvard Dock: Erscheint als eigenes Image mit eigener Anleitung.
• Vollständige Liste: Alle Änderungen stehen in Nodvard Deck unter Einstellungen, Über Nodvard Deck, Änderungsprotokoll.

Update-Helfer / Update helper

ghcr.io/nodvard/deck-updater@sha256:8f93ad7a4381b8de9b2f5eb4435655b48ee2325ff70f077b7a74198cf2eacd53 (Version 0.13.0)

Die Datei compose.standalone-mit-helfer.yml an diesem Release nennt genau diesen Helfer. Vergleichen kannst du den Digest mit docker buildx imagetools inspect ghcr.io/nodvard/deck-updater:0.13.0 (Zeile „Digest“).

The file compose.standalone-mit-helfer.yml attached to this release pins exactly this helper. Compare the digest with docker buildx imagetools inspect ghcr.io/nodvard/deck-updater:0.13.0 (line “Digest”).

Nodvard Deck 0.12.1: Bestätigung neuer Server-Schlüssel und Korrekturen in der Update-Zentrale

Deutsch

Das Wichtigste

Ein Patch-Release mit Fehlerbehebungen und einer Sicherheitskorrektur.

• Neue Server-Schlüssel: Deck merkt sie sich auch bei bestehenden Installationen erst nach deiner Bestätigung.
• Update-Zentrale: Zurückgehaltene und gesperrte Pakete erscheinen als eigener Zustand mit einer Erklärung.
• Ubuntu-Updates: Deck zeigt an, wenn die Prüfung der schrittweisen Verteilung noch aussteht oder fehlgeschlagen ist.

Was du tun musst

• Noch unbekannte Server: Wähle beim Server einmal „Verbindung prüfen“ und bestätige den angezeigten Fingerabdruck. Bereits bekannte Server laufen wie gewohnt weiter.

Sicherheit

• Bestätigung neuer Server-Schlüssel: Auch bei älteren Installationen merkt sich Deck neue Server-Schlüssel erst nach deiner Bestätigung. Ohne Nachfrage merkt Deck sie sich nur noch, wenn du die Bestätigung ausdrücklich ausschaltest, unter Einstellungen → Server & Zugänge oder über die Umgebungsvariable NODVARD_DECK_SSH_CONFIRM_NEW_HOST_KEYS. Das ist nicht empfohlen.

Behoben

• Zurückgehaltene und gesperrte Pakete: Updates, die „Alle einspielen“ nicht einspielen kann, erscheinen nicht mehr wie offene Updates. Deck zeigt sie als „zurückgehalten“ oder „gesperrt“ und erklärt den nächsten Schritt. Gibt es nur zurückgehaltene Sicherheitsupdates, erscheint kein Knopf „Sicherheitsupdates einspielen“.
• Sicherheitsupdates einspielen: Der Lauf entfernt keine anderen Pakete mehr. Zurückgehaltene, gesperrte und durch Phasing verzögerte Sicherheitsupdates bleiben stehen. Vor dem Einspielen prüft Deck den Server erneut.
• Phasing bei Ubuntu: Ist noch unbekannt, ob Ubuntu Updates für den Server verzögert, zeigt Deck „Phasing noch nicht geprüft“ oder „Phasing-Prüfung nicht verfügbar“. Eine ausstehende oder fehlgeschlagene Prüfung lässt den Hinweis nicht mehr verschwinden.

Gut zu wissen

• Zurückgehaltene Pakete: Müssen dafür andere Pakete ersetzt oder entfernt werden, brauchst du auf dem Server sudo apt full-upgrade. Lies vor dem Bestätigen die Liste der Pakete, die apt entfernen würde. „Alle einspielen“ lässt diese Updates stehen.
• Gesperrte Pakete: Eine bewusst gesetzte Paketsperre bleibt bestehen. War sie nicht beabsichtigt, kannst du sie auf dem Server mit sudo apt-mark unhold <Paketname> aufheben.

Update-Helfer / Update helper

ghcr.io/nodvard/deck-updater@sha256:e13e20636418b72153874af4c60cd67c8bf5d7cd3a397b9665eee6219193dcb6 (Version 0.12.1)

Die Datei compose.standalone-mit-helfer.yml an diesem Release nennt genau diesen Helfer. Vergleichen kannst du den Digest mit docker buildx imagetools inspect ghcr.io/nodvard/deck-updater:0.12.1 (Zeile „Digest“).

The file compose.standalone-mit-helfer.yml attached to this release pins exactly this helper. Compare the digest with docker buildx imagetools inspect ghcr.io/nodvard/deck-updater:0.12.1 (line “Digest”).

Nodvard Deck 0.12.0 – Docker-Stacks aus Git, Fail2ban in Nodvard Shield und engere Grenzen für Module und Anmeldungen

English version: below.

Deutsch

Das Wichtigste

• Docker-Stacks aus Git: Stacks aus einem Git-Repository einspielen, mit Vorschau jeder Änderung und Weg zurück zum Stand davor.
• Fail2ban in Nodvard Shield: gesperrte Adressen je Server sehen, entsperren oder selbst sperren.
• Mehr Sicherheit: Updates per Knopf nur für signiert freigegebene Versionen, eine Bremse gegen Passwort-Raten und engere Grenzen für Module.
• Keine Umstellung der Datenbank.
• Bei manchen Installationen ist danach etwas zu tun, siehe „Was du tun musst“.

Was du tun musst

1. Server, die root-Rechte nur über die Hilfsskripte bekommen: Einrichtungsbefehl noch einmal ausführen. Nodvard Shield bringt ein neues Hilfsskript mit und lehnt dort bis dahin Aktionen mit root-Rechten ab. Server mit voller sudo-Regel oder Anmeldung als root brauchen keinen Eingriff.

2. LATTICE_* auf NODVARD_DECK_* umstellen. Die alten Namen gelten in 0.12 noch, eine der nächsten Versionen, spätestens 1.0, liest sie nicht mehr. Welche der Container noch sieht, zeigt die Startseite dem Inhaber. In der .env neben der Compose-Datei von Hand umbenennen: LATTICE_PORT → NODVARD_DECK_PORT, LATTICE_DNS_1 → NODVARD_DECK_DNS_1 und LATTICE_DNS_2 → NODVARD_DECK_DNS_2 (die Startseite zeigt diese nicht, weil nur Compose die Datei liest).

3. Alte volle sudo-Regel entfernen (empfohlen). Server, die vor 0.11.1 mit „Root-Rechte ohne Passwort“ eingerichtet wurden, haben oft noch <benutzer> ALL=(root) NOPASSWD: ALL. Sobald kein Modul die Regel mehr braucht, weist die Übersicht unter „Braucht Aufmerksamkeit“ darauf hin und führt zum fertigen Einrichtungsbefehl mit „Volle sudo-Regel entfernen“.

   Von Hand entfernen, erst wenn „Verbindung prüfen“ bei jedem Hilfsskript „Eigene sudo-Regel vorhanden“ zeigt (<benutzer> ist der SSH-Benutzer von Deck):

   sudo rm -f /etc/sudoers.d/nodvard-<benutzer> /etc/sudoers.d/lattice-<benutzer>

   Danach noch einmal „Verbindung prüfen“. Anleitung: docs/11, Abschnitt 6.

4. Erweiterungen anderer Anbieter und eigene Skripte prüfen. Die alten Namen lattice und lattice_sdk (Python-Pakete), LatticeExtension und LatticeError (Klassen) und die Entry-Point-Gruppe lattice.extensions gibt es nicht mehr. Erweiterungen, die sie noch nutzen, lädt Deck nicht. Die Liste der Erweiterungen zeigt, welche betroffen sind, woran es liegt und was hilft. Eigene Skripte mit import lattice oder python -m lattice.… auf nodvard_deck umstellen. Die Oberfläche einer Erweiterung braucht window.__nodvardDeck statt window.__lattice.

Neu

Docker: Stacks aus Git

• Ein Stack, den Deck verwaltet (in Deck angelegt oder mit „Übernehmen“ übernommen), kann ein Git-Repository als Quelle bekommen, nur über https://.
• Vor jedem Einspielen siehst du, welche Dateien neu oder anders wären, samt Unterschied der Compose-Datei und Hinweisen auf alles, was nicht aus dem Repository kommt.
• Eingespielt wird nach Rückfrage und Freigabe, mit den Rechten des Besitzers des Stack-Ordners.
• Lehnt Compose den neuen Stand ab, steht sofort wieder der alte auf dem Server.
• „Zurück zum Stand davor“ stellt den Stand vor dem letzten Einspielen wieder her und entfernt dabei nur Dateien, die Deck selbst geschrieben hat und die seitdem niemand geändert hat.
• Deck ersetzt vorhandene Umgebungsdateien wie .env nie und löscht eine selbst angelegte nur bei „Zurück zum Stand davor“ wieder.
• Neu gestartet werden nur die Dienste aus der Freigabe, und für weitere gibt es „Jetzt neu starten“ mit eigener Freigabe.
• Nach dem Neustart wird geprüft, ob die Dienste stabil laufen, auch solche, die vorher gestoppt waren.
• Vorher lassen sich die Volumes des Stacks sichern, wobei die Dienste, die sie nutzen, stillstehen.
• Zurückspielen geht im Reiter Stacks unter „Sicherungen“.
• Git-Zugänge für private Repositorys stehen in den Einstellungen des Moduls Docker, und ihr Token liegt im Tresor und geht nur an den eingetragenen Server.

Nodvard Shield

• Einbruchschutz: Je Server siehst du die von Fail2ban gesperrten Adressen, kannst sie entsperren und selbst Adressen sperren.
• Die IP-Adresse deines Browsers und die Adresse, über die Deck den Server erreicht, lassen sich nicht sperren, damit sich niemand selbst aussperrt.
• Update-Zentrale: Bei Ubuntu-Servern steht, wie viele Updates noch schrittweise verteilt werden („Phasing“), mit kurzer Erklärung.
• Update-Zentrale: „Alle einspielen“ spielt schrittweise verteilte Updates erst ein, wenn der Server an der Reihe ist, und weist in der Rückfrage vorher darauf hin.

Server und sudo

• „Volle sudo-Regel entfernen“ unter „Erweitert“ im Einrichtungsbefehl prüft jedes Hilfsskript vorher und nachher und stellt die Regel bei einem Fehler sofort wieder her.
• Das neue Häkchen „Volle sudo-Regel gewollt“ beim Server ist für alle, die über Deck eigene Befehle mit sudo starten.

Einstellungen

• Meldet sich der Inhaber über einen Proxy im Heimnetz an, der nicht als vertrauenswürdig eingetragen ist, gibt es einen Hinweis, denn ohne Eintrag sieht Deck die echten Adressen nicht.

Sicherheit

Updates

• „Jetzt aktualisieren“ bietet Deck nur noch für Versionen an, die am Release mit dem Schlüssel des Projekts freigegeben sind.
• Ein aktueller Update-Helfer prüft die Signatur dieser Freigabe selbst und lehnt eine falsche ab. Pflicht für jedes Update wird die Signatur erst mit 1.0, siehe „Gut zu wissen“.
• Mit einem aktuellen Update-Helfer spielt „Jetzt aktualisieren“ genau die Fassung ein, die die Update-Suche geprüft hat.
• Hat sich das Update seitdem geändert, lädt der Knopf nichts und bittet um eine neue Update-Suche.

Anmeldung

• Anmelde-Tokens (Access-Tokens) werden beim Abmelden, beim Passwortwechsel (für die anderen Anmeldungen) und beim Deaktivieren und Wiederaktivieren eines Kontos sofort ungültig, statt noch bis zu 15 Minuten zu gelten.
• Nach 10 falschen Anmeldungen für einen Namen in 24 Stunden wartet jeder weitere Versuch aus demselben Netz doppelt so lange wie der vorige, höchstens 5 Minuten, und du bekommst eine Meldung.
• Die Bremse gilt je Netz: Aus deinem Heimnetz, per VPN und aus anderen Netzen kommst du weiter sofort hinein.
• Gegen Angreifer mit sehr vielen Adressen helfen weiter ein langes Passwort und Zwei-Faktor.

Browser

• Kamera, Mikrofon, Standort und andere Geräte, die Deck nie braucht, sind im Browser gesperrt.
• Fremde Seiten können Deck nicht mehr einbinden, außer Logo, Symbolen und der Erreichbarkeits-Prüfung.
• Bilder, Daten und Verbindungen lädt die Oberfläche nur noch vom eigenen Server, und der Browser sperrt fremde Adressen jetzt, statt sie nur zu melden.

Module

• Über ihren Datenbank-Zugang erreichen Module nur ihre eigenen Tabellen, nicht mehr Konten, Tresor oder Protokoll.
• Ein Geheimnis aus dem Tresor bekommt ein Modul nur mit dem Recht für genau dieses Geheimnis, auch nicht über Umwege, und die Zwei-Faktor-Schlüssel der Konten nie.
• Von den Einstellungen des Dashboards lesen Module nur noch Zeitzone und Wartungsfenster, nicht mehr etwa die Freigabe-Regeln oder die Liste der vertrauenswürdigen Proxys.
• Darf ein Modul nur bestimmte Adressbereiche erreichen, kommt es auch über einen Rechnernamen nicht daran vorbei.
• Welcher Befehl nach einer Aktion lief, sehen nur das vorschlagende Modul und Module, die selbst Befehle ausführen dürfen.
• Als Handelnde im Protokoll kann ein Modul nur noch die Person nennen, die wirklich beteiligt ist.
• Will eine nachinstallierte Erweiterung die Daten eines entfernten Moduls übernehmen, muss ein Admin das unter Einstellungen → Erweiterungen erlauben.

Server und Hilfsskripte

• Hilfsskripte landen nur noch in Ordnern, in die außer root niemand schreiben darf, auch keine Gruppe.
• Ist der Ordner zu offen, nennt die Einrichtung Grund und Abhilfe, und „Verbindung prüfen“ warnt bei schon eingerichteten Servern.
• Docker: Steht ein Server inzwischen auf „Nur bedienen“, wird eine vorgeschlagene Aktion nicht mehr ausgeführt, außer Starten, Stoppen und Neustarten von Containern.
• Docker: Ist ein Server nicht mehr als Docker-Server markiert, wird dort keine vorgeschlagene Docker-Aktion mehr ausgeführt.
• Docker: „Nur bedienen“ nutzt nach dem erneuten Einrichten immer Docker auf dem Server selbst, auch wenn root dort per DOCKER_HOST oder Docker-Kontext auf einen anderen Docker-Dienst zeigt.

Nodvard Shield

• Ohne Hilfsskript kommt eine Datei nur noch in die Quarantäne, wenn ClamAV sie dabei erneut als Fund meldet.
• Aus der Quarantäne geht eine Datei nur an ihren alten Ort und mit ihren alten Rechten zurück, auch ohne Hilfsskript.
• Rückfrage und Freigabe sagen beim Wiederherstellen „an den hinterlegten Ort“, und das Ergebnis nennt den Ort, an den die Datei wirklich ging.
• Dateien, die mit Deck 0.8 oder älter in die Quarantäne kamen, legst du von Hand statt per Knopf zurück oder löschst sie, weil ihr alter Ort fehlt.
• Vorfälle bearbeiten darf nur, wer Shield verwalten darf (Recht soc.manage), und mit nur soc.read bleiben sie lesbar.

Weiteres

• Scheitert eine Sicherung am Schreibrecht, stehen Benutzernummer und Befehl nur noch unter Einstellungen → System, nicht in Protokoll und Benachrichtigung.
• Die Texterkennung der Dokumente (Tesseract) bekommt mit jeder neuen Version die aktuellen Sicherheitsupdates.
• Die eingebaute Git-Bibliothek ist aktualisiert und bricht bei absichtlich kaputten Git-Daten nicht mehr ab.

Verbessert

• Erst-Einrichtung: Zwei-Faktor lässt sich auch nach „Jetzt einrichten“ mit „Später einrichten“ überspringen.
• Module: Stürzt ein Modul beim Start ab, steht der Grund verständlich da, mit den Knöpfen „Neu starten“ und „Ausschalten“.
• Updates: Die Karte „Updates“ zeigt, ob eine neue Version...

Nodvard Deck 0.11.1 – Sicherheitsupdate: engere Rechte beim Einrichten und Schutz vor veränderten Sicherungen

Ein Update mit Sicherheits- und Fehlerkorrekturen, ohne neue Funktionen. Wir empfehlen es allen, die 0.11.0 oder älter nutzen.

Sicherheit

Einrichten von Servern

• Braucht auf einem Server kein eingeschaltetes Modul root, richtet der Haken „Root-Rechte ohne Passwort“ kein sudo mehr ein. Bisher gab es dann die volle sudo-Regel für alles. Wer sudo trotzdem will, wählt unter „Erweitert“ „Volle Rechte“. Eine früher eingerichtete Regel bleibt auf dem Server, wie du sie löschst, steht in der Anleitung zum Einrichten.
• Die Hilfsskripte legt Deck nur noch in Ordner, in die außer root und der Gruppe root niemand schreiben darf, auch nicht über erweiterte Zugriffsrechte.
• Stand der Schlüssel von Deck schon ohne Einschränkungen auf dem Server, etwa von Hand eingetragen, ergänzt die Einrichtung jetzt die Einschränkungen (zum Beispiel kein Weiterleiten von Ports) und sagt dir das. Hast du selbst Optionen eingetragen, bleibt die Zeile, wie sie ist.

Daten aus einer Sicherung

• Dokumente, Inventarbilder, die Ausgabe von Job-Läufen und die Quarantäne von Nodvard Shield prüfen jetzt, ob eine Datei wirklich dort liegt, wo Deck sie selbst ablegt. Eine veränderte Sicherung kann so keine Dateien außerhalb lesen, verschieben oder löschen lassen. Die Vorschau von Dokumenten zeigt nur noch PDF und Bilder, alles andere gibt es zum Herunterladen.

Weitere Punkte

• Die Seiten von Deck führen nur noch Skripte aus, die vom eigenen Server kommen. Bisher hat der Browser fremde Skripte nur gemeldet, jetzt blockiert er sie.
• Ein ausgeschalteter Job lässt sich auch über die Schnittstelle nicht mehr von Hand starten. Das betrifft vor allem die automatischen Updates von Nodvard Shield: Sind sie ausgeschaltet, spielt Deck nichts ein.
• Docker: Eine Freigabe zum Anmelden bei einer Registry gilt nur für den Benutzernamen, der beim Vorschlag eingetragen war. Beim Zurückspielen einer Volume-Sicherung prüft Deck, dass das Archiv noch dasselbe ist wie bei der Prüfung kurz davor.

Behoben

• „Verbindung prüfen“ warnt nicht mehr vor fehlendem sudo, wenn auf dem Server kein Modul root braucht.
• Ist ein Vorschlag schon abgelaufen, wenn jemand auf „Bestätigen“ klickt, steht der Ablauf jetzt auch im Protokoll.
• Docker:
  • Bricht das Zurückspielen genau beim Austausch der Daten ab, bleibt der Stack gestoppt, statt mit halb getauschten Daten wieder zu starten. Ein Sicherungsordner mit einem unmöglichen Datum legt nicht mehr die ganze Liste lahm.
  • Der Umzug von Portainer prüft direkt vor dem Neu-Ausrollen noch einmal, ob die Container zu den Images passen, und meldet zurückgebliebene Container statt eines Erfolgs.
  • Die Registry-Liste zeigt „unbekannt“ statt fälschlich „angemeldet“, wenn ein Server seine Anmeldungen über ein eigenes Hilfsprogramm speichert.
  • Unerwartete Angaben zu einem Container nennt Deck als Grund statt eines allgemeinen Serverfehlers. Der Ordner eines Compose-Projekts erscheint im Dateimanager nicht mehr leer oder abgeschnitten.

Gut zu wissen

• Keine Umstellung der Datenbank. Der Wechsel zurück auf 0.11.0 geht ohne Datenverlust.
• Ältere Debian: Darf dort die Gruppe „staff“ in /usr/local schreiben, bricht eine neue Einrichtung mit nur den Hilfsskripten ab, und „Verbindung prüfen“ warnt bei schon eingerichteten Servern. Abhilfe auf dem Server als root: chmod g-w /usr/local /usr/local/lib, danach den Einrichtungsbefehl noch einmal ausführen.
• Aktualisieren: in Deck unter Einstellungen → „Updates“ → „Jetzt aktualisieren“, oder mit docker compose pull && docker compose up -d.

English

A security and bug fix release without new features. We recommend it for everyone on 0.11.0 or older.

Security

• Server setup: if no enabled module needs root on a server, the “Root without password” option no longer sets up sudo at all (previously it granted full sudo). Choose full rights under “Advanced” if you need sudo. An existing rule stays on the server; the setup guide explains how to remove it. Helper scripts are only placed in folders that nobody but root and the root group can write to, including extended ACLs. A Deck key that was already present without restrictions now gets them added during setup; lines with your own options stay as they are.
• Data from a backup: documents, inventory images, job run output and the Nodvard Shield quarantine now check that a file really is where Deck stores it, so a modified backup cannot make Deck read, move or delete files elsewhere. The document preview only shows PDFs and images.
• Deck's pages only run scripts served by Deck itself; the browser now blocks others instead of only reporting them.
• A disabled job can no longer be started by hand through the API, which matters most for Nodvard Shield's automatic updates.
• Docker: a registry login approval only applies to the user name it was proposed with, and restoring a volume backup checks that the archive is still the one that was verified.

Fixed

• “Check connection” no longer warns about missing sudo when no module needs root.
• Approving an already expired proposal now records the expiry in the audit log.
• Docker: an interrupted restore leaves the stack stopped instead of starting it with half-swapped data; an impossible date in a backup folder name no longer breaks the list; the Portainer migration re-checks images right before redeploying; credential helpers show as “unknown”; clearer errors for unexpected container data and correct folders for compose projects in the file manager.

Good to know

• No database migration; going back to 0.11.0 works without data loss.
• Older Debian: if the group “staff” can write to /usr/local, a new helper-only setup stops and “Check connection” warns. Fix as root on the server: chmod g-w /usr/local /usr/local/lib, then run the setup command again.
• Update in Deck under Settings → “Updates” → “Update now”, or with docker compose pull && docker compose up -d.

Nodvard Deck 0.11.0

Kurz gesagt: Die Startseite lässt sich jetzt bearbeiten, mit Gruppen zum Zuklappen. Nodvard Dock gibt es als fertiges Image (Beta). Docker kann private Registries und spielt Volume-Sicherungen zurück, dazu der Modus „Nur bedienen“. Synology DSM (Beta) nimmt mehrere Geräte, neue Server bekommen engere Rechte, und Shield kennt eigene Portbereiche.

Neu

Startseite

• Die Widgets stehen in Gruppen (Server und Proxmox, Sicherheit, Docker und Apps, Backups, Dienste), die sich einzeln zuklappen lassen. Das gilt ohne Neuladen auch auf deinen anderen Geräten. Eine zugeklappte Gruppe zeigt einen farbigen Punkt, wenn darin etwas warnt, gestört ist oder nicht lädt.
• Mit „Bearbeiten“ verschiebst du Widgets, änderst Höhe, Breite und Gruppe und benennst Gruppen um. „Fertig“ speichert alles auf einmal. Außerhalb des Bearbeiten-Modus lässt sich nichts mehr aus Versehen verschieben.

Nodvard Dock (Beta)

• Nodvard Dock, die schlanke Ausgabe nur mit der Container-Verwaltung, gibt es jetzt als fertiges Image ghcr.io/nodvard/dock für amd64 und arm64. Die Anleitung steht in deploy/nodvard-dock/README.md.
• Dock bietet für sich selbst keinen Update-Knopf an, sondern erklärt, wie du es auf dem Server aktualisierst.

Docker

• Private Registries wie ghcr.io lassen sich in den Einstellungen eintragen, das Passwort oder Token kommt in den Tresor. Im neuen Reiter „Registries“ siehst du je Server, wo Docker angemeldet ist, und meldest dich über die Freigabe an oder ab. Das Passwort steht dabei in keinem Befehl, den andere auf dem Server sehen könnten.
• Volume-Sicherungen eines Stacks lassen sich unter „Sicherungen“ zurückspielen und löschen, beides über die Freigabe. Deck prüft vorher, ob das Archiv lesbar ist und der Platz reicht, entpackt es neben die alten Daten und tauscht erst dann. Ist etwas nicht in Ordnung, bleiben die Daten, wie sie sind. Besitzer und Rechte der Volumes bleiben erhalten.
• Bricht ein Zurückspielen ab, startet Deck die Dienste nicht blind wieder, sondern sagt dir, wo die Daten liegen.
• Neuer Modus „Nur bedienen“ für Server, deren Zugang nicht in der Gruppe docker sein soll (das wäre praktisch root). Mit der Markierung „docker-bedienen“ darf Deck dort per sudo nur das feste Hilfsskript docker-root: Container anzeigen, ihre Protokolle lesen, sie starten, stoppen und neu starten. Starten, Stoppen und Neustarten laufen über die Freigabe. Stacks, Images, Löschen und Konsole gibt es dort nicht, die Seite sagt, warum.
• „Verbindung prüfen“ zeigt, wenn der Zugang auf so einem Server trotzdem alles darf (Anmeldung als root, Gruppe docker oder volle sudo-Rechte), und nennt, wie du das änderst.

Synology DSM (Beta)

• Du kannst jetzt mehrere Synologys eintragen, jede mit eigenem Namen, Konto, Passwort und Zertifikat. Die Seite hat eine Auswahl der Geräte, auf der Startseite hat jedes Gerät eigene Kacheln, und die Meldungen nennen den Gerätenamen.
• Hast du schon eine Synology eingerichtet, musst du nichts neu eintragen. Sie wird beim ersten Start als „synology“ übernommen, samt Passwort, Kacheln und bereits gemeldeten Problemen.

Nodvard Shield

• Im Einbruchschutz kannst du je Programm eigene Portbereiche eintragen, etwa für einen Spieleserver. Neue Ports darin zählen dann als ein Eintrag, statt einzeln zu melden. Ein Bereich umfasst höchstens 1000 Ports, mehr nur mit dem Häkchen „Breiter Bereich“. Ports unter 1024 zählen nur mit eigenem Häkchen, in einem breiten Bereich nie. Dafür braucht Deck auf dem Server root oder sudo.

Sicherheit

• Engere Rechte beim Einrichten: Richtest du einen Server neu ein, bekommt Deck dort keine vollen Verwaltungsrechte mehr, wenn die Hilfsskripte der Module reichen. Deck darf dann nur genau diese Skripte starten. Volle Rechte gibt es weiter unter „Erweitert“. Schon eingerichtete Server bleiben, wie sie sind.
• Beim Prüfen des Ordners für die Hilfsskripte zählen auch erweiterte Zugriffsrechte und die Gruppen, die ein neuer Benutzer bekommt. Ist der Ordner dadurch unsicher, legt Deck die Hilfsskripte dort nicht ab und sagt, wie du es behebst.
• Die Bibliothek für Bilder ist aktualisiert. Ein präpariertes Bild konnte beim Hochladen in die Dokumente das Dashboard ausbremsen oder abstürzen lassen. Hochladen kann so ein Bild nur, wer Dokumente ändern darf.
• Deck vertraut der Zertifizierungsstelle „emSign ECC Root CA - G3“ nicht mehr, weil Zertifikate unter ihr in falsche Hände geraten sind. Ein Dienst mit so einem Zertifikat meldet in Deck deshalb jetzt einen Zertifikatsfehler.
• Ein sehr langer Text in einer Markdown-Kachel kann die Seite nicht mehr spürbar ausbremsen.
• Docker: Werte aus den Variablen eines Stacks blendet Deck in Fehlermeldungen auch dann aus, wenn Docker sie umwandelt, zerlegt oder in Anführungszeichen zeigt.
• Docker: Im Modus „Nur bedienen“ prüft das Hilfsskript jeden Aufruf selbst und führt nur eine feste Auswahl von Docker-Befehlen aus.
• Kommt in den Einstellungen eines Moduls derselbe Kurzname zweimal vor, landet ein Passwort nicht bei der Adresse eines anderen Eintrags.

Verbessert

• „Verbindung prüfen“ und die Übersicht erkennen Server, die nur die Hilfsskripte erlauben, und sagen deutlich, wenn einem Modul deshalb Rechte fehlen.
• Lehnt ein Server mit Dropbear den Schlüssel ab, nennt „Verbindung prüfen“ den Grund und wie du es behebst.
• Synology DSM: Fällt in einem eingeschränkten Speicherpool ein Volume aus, kommt eine einzige dringende Meldung. Wird bei einem Gerät die Anmeldung abgelehnt, pausiert nur dieses Gerät für 30 Minuten.
• Nodvard Shield: Ein ausgelassener Neustart nach einem gescheiterten Update kommt nur einmal als Warnung und steht danach weiter unter „Braucht Aufmerksamkeit“.
• Docker: Jede neue Volume-Sicherung merkt sich, welche Volumes hineingehören, und nennt die fehlenden, falls das Packen abbrach.

Behoben

• Server mit Dropbear, etwa DietPi: Das Einrichten mit Passwort klappt jetzt, weil Deck den Schlüssel so einträgt, dass Dropbear ihn annimmt. Hast du so einen Server schon eingerichtet und kannst dich nicht anmelden, richte ihn einfach noch einmal ein. Updates, Audit und Viren-Wächter von Nodvard Shield brechen dort nicht mehr mit „Connection lost“ ab.
• Proxmox: Fällt ein Server aus, steht er auf der Startseite nicht mehr weiter als online. Antwortet er 4 Minuten am Stück nicht, gilt er als nicht erreichbar, in einem Cluster als unbekannt. Ein kurzer Neustart löst das nicht aus.
• Der Einbruchschutz meldet bei Pi-hole und anderen DNS-Diensten nicht mehr ständig „Neuer offener Port“.
• Nodvard Shield: Tiefenscan und Härtungs-Audit auf allen Servern starten nur nach einer Rückfrage, Ergebnisse bleiben stehen, Fehler stehen mit Grund da, und ein zweiter Klick startet nichts doppelt.
• Docker: Beim Umzug von Portainer bricht Deck vorher ab, wenn die Images nicht zu den laufenden Containern passen. Nach Abbrüchen bleiben keine leeren Ordner mehr liegen.
• Synology DSM: Antwortet Hyper Backup sehr langsam, zeigt die Seite Speicher, System und Updates trotzdem an.
• Startseite: Lassen sich die Widgets gerade nicht laden, steht der Grund mit „Erneut versuchen“ da.
• Fährt Deck herunter, während geplante Aufgaben laufen, stehen sie als abgebrochen in der Liste, ohne Fehlermeldungen im Protokoll.

Gut zu wissen

• Eine kleine Umstellung der Datenbank für die Gruppen der Startseite. Sie läuft beim ersten Start von selbst.
• Neue Server bekommen engere Rechte. Brauchst du sudo ohne Passwort für eigene Skripte, wähle beim Einrichten unter „Erweitert“ die vollen Rechte.
• Synology DSM und Nodvard Dock sind Beta.
• Aktualisieren: in Deck unter Einstellungen → „Updates“ → „Jetzt aktualisieren“, oder mit docker compose pull && docker compose up -d.

English

New

• Home page: widgets are grouped (servers and Proxmox, security, Docker and apps, backups, services) and groups can be collapsed, also on your other devices without reloading. A collapsed group shows a coloured dot when something inside needs attention. An “Edit” mode moves widgets, changes height, width and group and renames groups; “Done” saves everything at once.
• Nodvard Dock (beta): ready-made image ghcr.io/nodvard/dock for amd64 and arm64, see deploy/nodvard-dock/README.md. Dock explains how to update itself instead of offering an update button.
• Docker: private registries such as ghcr.io with the password or token in the vault, and a “Registries” tab to log in or out per server via approval. Volume backups of a stack can be restored (after checking the archive and free space; data is only swapped once everything is unpacked) and deleted. New mode “Operate only” (tag docker-bedienen): Deck may only run the fixed helper script docker-root via sudo to list, start, stop and restart containers and read their logs, without the login user in the docker group; no stacks, images, deleting or console there. “Check connection” warns if such a server's login can still do everything.
• Synology DSM (beta): several devices, each with its own name, account, password and certificate. An existing setup is taken over as “synology” on first start.
• Nodvard Shield: custom port ranges per program in intrusion detection, at most 1000 ports unless marked as a wide range; ports below 1024 need their own tick and never count in a wide range. Needs root or sudo on the server.

Security

• New servers no longer get full admin rights when the modules' helper scripts are enough; full rights remain under “Advanced”. Existing servers are unchanged. The helper folder check now includes extended ACLs and the groups of a new user.
• Updated image library, certificate store without “emSign ECC Root CA - G3” (a service with such a certificate now shows a certificate error), and Markdown rendering. The “Operate only” helper checks every call itself.
• Docker hides stack variable values in error messages even when trans...

Nodvard Deck 0.10.0

Kurz gesagt: Docker kann jetzt Stacks: anlegen, als Text oder Formular bearbeiten, als Ganzes aktualisieren mit automatischem Rückweg und Volume-Sicherung, Stacks aus Portainer übernehmen. Dazu Synology DSM als Beta, Server getrennt nach physisch, VM und LXC, eine aufgeräumte Startseite und mehrere Korrekturen in Nodvard Shield.

Aktualisieren: in Deck unter Einstellungen bei „Updates“ auf „Jetzt aktualisieren“, oder mit docker compose pull && docker compose up -d.

Neu

Docker-Stacks

• Neuer Reiter „Stacks“: Er zeigt alle Gruppen von Containern, die zusammen aus einer Compose-Datei laufen, auch die von Hand oder mit Portainer angelegten, mit Zustand und Verbrauch. Die Compose-Datei lässt sich ansehen, und es steht dabei, wenn sie geändert, aber noch nicht angewendet wurde. Bei „Datei ansehen“ stehen auch die Namen der Variablen aus der .env, die Werte nicht, weil darin oft Passwörter stehen.
• Vorhandene Stacks lassen sich übernehmen. Deck prüft vorher, ob die Compose-Datei lesbar ist, und nennt sonst den Grund; am Server ändert sich dabei nichts. Ein übernommener Stack bleibt in der Liste, auch wenn gerade keiner seiner Container existiert.
• Übernommene Stacks lassen sich anwenden, stoppen, herunterfahren und ihre Images neu holen, jeweils mit Freigabe. Nach dem Anwenden prüft Deck, ob alle Dienste laufen.
• Die Compose-Datei lässt sich direkt in Deck bearbeiten, als Text oder als Formular (Image, Ports, Ordner, Umgebungsvariablen, Neustart-Regel je Dienst). Compose prüft sie vor dem Speichern, der Editor zeigt Zeile für Zeile, was sich ändert, gespeichert wird nur mit Freigabe, und die letzten 20 Fassungen bleiben im Verlauf. Riskante Einstellungen (volle Rechte, Netz des Servers, Systemordner, Zugriff auf Docker selbst) nennt Deck vorher; kommt so eine neu dazu, braucht die Freigabe die hohe Stufe.
• Neue Stacks lassen sich anlegen, aus einem Beispiel, eingefügtem Text, einer hochgeladenen Datei oder einer Vorlage (Uptime Kuma, Vaultwarden, Nginx Proxy Manager, Gitea, jede mit fester Version). Deck legt dafür nach der Freigabe einen eigenen Ordner an (Vorgabe /opt/stacks, je Server änderbar) und überschreibt nie einen bestehenden.
• Stacks lassen sich als Ganzes aktualisieren: Deck holt die neuen Images, behält die alten als Sicherung und prüft danach, ob die neue Version läuft; startet ein Dienst nicht, geht es von selbst zurück, außer bei Datenbanken. Auf Wunsch sichert Deck vorher die Volumes. „Zurück zur vorigen Version“ setzt die Dienste auf die Images vor dem letzten Update zurück, solange die Sicherung noch passt.
• Übernommene Stacks lassen sich löschen. Deck fährt sie herunter (die Volumes bleiben); den Ordner löscht es nur, wenn du das ausdrücklich anhakst und nichts dagegen spricht.
• Stacks aus Portainer lassen sich übernehmen: Deck holt Datei und Variablen in einen eigenen Ordner und rollt den Stack dort unter demselben Namen neu aus, die Volumes mit den Daten bleiben. Passt etwas nicht, zieht Deck nicht um und nennt den Grund.
• Ein Container, der ohne Compose gestartet wurde, lässt sich in einen Stack umwandeln. Deck zeigt die erzeugte Compose-Datei vorher, startet daraus neu und startet den alten wieder, wenn der neue nicht läuft. Was Deck nicht sicher übersetzen kann, nennt es, statt es wegzulassen.
• Logs lassen sich auf einen Zeitraum begrenzen, durchsuchen und als Textdatei herunterladen. Die Container-Liste lässt sich nach Server, Stack und Zustand filtern und zeigt, wie oft Docker einen Container von selbst neu starten musste; sind es drei oder mehr und liegt der letzte keine Stunde zurück, zählt er zu „Mit Problemen“.

Synology DSM (Beta, nur lesend)

• Neues Modul: Modell, DSM-Version, Auslastung, Volumes, Speicherpools, Festplatten, Updates und die Sicherungen aus Hyper Backup (letzter Lauf, Ergebnis, nächster Lauf), auf einer Seite und in drei Kacheln.
• Es meldet sich von selbst, wenn ein Speicherpool, eine Festplatte, die Temperatur oder eine Sicherung nicht stimmt; ein neues DSM-Update kommt als ruhiger Hinweis.
• Am besten legst du in DSM ein eigenes Konto ohne Zwei-Faktor für Deck an; für Speicher und Updates muss es in der Gruppe „administrators“ sein. Das Passwort liegt im Tresor.

Übersicht und Server

• Server sind nach Art getrennt: physische Server, virtuelle Maschinen und LXC-Container stehen in eigenen Gruppen, jede mit einer Plakette wie „LXC auf pve1“.
• Eine in Proxmox gelöschte VM oder ein gelöschter LXC steht nicht mehr stumm in der Liste: Deck zeigt „nicht mehr vorhanden“ und bietet an, den Eintrag mit einem Klick zu entfernen.
• Die Übersicht zeigt dezent, wenn ein Server neu eingerichtet werden sollte, damit Nodvard Shield und Server-Zustand dort mit engen Rechten laufen. Der Hinweis führt direkt zur Einrichtung und lässt sich je Server wegklicken.
• Unter „Über Nodvard Deck“ gibt es den Abschnitt „Community und Credits“ mit Discord, GitHub und den Lizenzen der verwendeten Bibliotheken.

Für Entwickler von Erweiterungen

• Befehle an einen Server lassen sich als Liste übergeben. Deck setzt die Befehlszeile dann selbst zusammen, ein Wert wird nie zu Shell-Syntax.

Sicherheit

• App-Kacheln, Suche, Widgets und Modulseiten öffnen nur noch echte Webadressen. Eine manipulierte Adresse aus einem Modul kann so kein Skript im Dashboard starten.
• Docker: Ist eine .env-Datei kaputt, zitiert Docker Compose in seiner Fehlermeldung oft einen Teil der Datei, und das kann ein Passwort sein. Deck nennt davon nur noch Datei und Grund, auch in Aktionen, Meldungen und Protokoll; Namen nicht gesetzter Variablen zeigt es aus demselben Grund nicht mehr.

Verbessert

• Widgets auf der Übersicht sind so hoch wie ihr Inhalt; lange Listen enden sauber mit „+ x weitere“. Ein Klick auf den Kopf öffnet die Seite des Moduls, verschoben wird am Griff daneben. Widgets nicht eingerichteter Module verschwinden von der Übersicht und stehen unter „Widgets verwalten“ mit einem Link zum Einrichten. Die Widgets sind ruhiger: Symbole grau, „alles gut“ nur als grüner Punkt; die Vorfälle-Kachel zeigt nur offene und vorgeschlagene Vorfälle.
• Die Übersicht zählt die physischen Server und nennt VMs und LXC dahinter, etwa „3/3 + 4 VMs · 5 LXC“.
• Docker: Läuft Docker in einem LXC oder einer VM, steht das beim Server, samt Grenze für CPU und Arbeitsspeicher. An einem Stack läuft immer nur eine Änderung zur Zeit; wer dazwischen kommt, erfährt, was gerade läuft.
• Synology DSM läuft mit älteren und neueren DSM-Versionen und lässt sich auf das Zertifikat deiner Synology festlegen.
• Richtet Deck einen Server mit Passwort ein, schlägt der Datei-Wächter von Nodvard Shield deswegen keinen Alarm mehr; er übernimmt genau das, was die Einrichtung gemeldet hat, und meldet alles andere weiter.
• Passt bei einer Aktion auf der Server-Seite eine Angabe nicht, sagt Deck das sofort und verständlich, statt die Aktion erst fehlschlagen zu lassen.
• „Verbindung prüfen“ weist darauf hin, wenn ein Hilfsskript fehlt, obwohl Root-Rechte eingerichtet sind, und die Einrichtung nennt den Grund. Warnungen über unbekannte Einträge in den Benutzer-Einstellungen des Servers erscheinen nicht mehr.
• Die Terminal-Seite erklärt den Unterschied zwischen Terminal und Konsole und blendet die Knöpfe nicht erreichbarer Server ab.
• Übernimmt ein Modul Tresor-Einträge eines alten Moduls und darf einige davon nicht lesen, nennt das Protokoll nur noch ihre Anzahl, nicht ihre Namen.
• Die Installationsanleitung beschreibt viele weitere Wege Schritt für Schritt: einen einzelnen Docker-Befehl, Podman, Dockge, Synology, UGREEN, QNAP, Unraid, TrueNAS, OpenMediaVault, ZimaOS/CasaOS, Proxmox und Docker Desktop.

Behoben

• Eine in Proxmox ausgeschaltete VM oder ein ausgeschalteter LXC steht grau als „aus“ da und gilt nicht mehr als Störung.
• Bei halber Bildschirmbreite läuft keine Seite mehr seitlich aus dem Fenster; die Übersicht stapelt ihre Kacheln dann in zwei Spalten.
• Auf der Apps-Seite stehen erkannte Dienste nicht mehr zusätzlich unter „Vorschläge“, du übernimmst sie direkt an ihrer Kachel. Pi-hole, Nginx Proxy Manager, Nextcloud, Uptime Kuma, Jellyfin, Plex, qBittorrent, Home Assistant und Vaultwarden funktionieren auch mit einer aus dem Browser kopierten Unterseite wie /dashboard in der Adresse.
• Docker: Eine abgerissene Verbindung gilt nicht mehr als fehlende Datei oder freier Ordner, fehlende Rechte nennt Deck schon beim Prüfen. Das Image-Update erkennt auch mit aktuellem Docker Compose Variablen ohne Wert und bricht dann vorher ab. Wird ein Stack-Update während der Sicherung abgebrochen, bleibt kein leerer Sicherungsordner zurück.
• Synology DSM (Beta): Die Entwarnung zu einem Speicherpool oder Volume kommt erst, wenn es wieder „Normal“ ist, auch bei einem unbekannten Zustand. Während ein Pool repariert wird, meldet sein Volume nichts doppelt, und viele Hyper-Backup-Aufgaben halten die Seite nicht mehr auf.
• Nodvard Shield, Updates: Automatische Updates starten einen Server nicht mehr neu, wenn das letzte Update dort fehlgeschlagen ist, abgebrochen wurde oder noch läuft. Die Zusammenfassung sagt dann, dass der Neustart ausgelassen wurde, und der Server steht unter „Braucht Aufmerksamkeit“, bis ein Update wieder klappt.
• Nodvard Shield, Datei-Wächter: „Ist in Ordnung“ geht nicht mehr verloren, wenn zwei Bestätigungen oder eine Prüfung gleichzeitig laufen, und antwortet ein Server dabei nicht, bleibt das Ereignis offen. Eine abgeschnittene Antwort löst keinen falschen Alarm mehr aus.
• Nodvard Shield, Quarantäne: Dauert das Verschieben länger als fünf Minuten, sieht Deck noch bis zu 20 Minuten nach, ob die Datei angekommen ist. Antwortet der Server dabei nicht mehr, steht am Fund „ließ sich nicht feststellen“ statt „nicht angekommen“.
• Nodvard Shield, Viren-Wächter: Startet der Echtzeit-Wächter nicht, räumt Shield auf und merkt ihn als ausgeschaltet; läuft er nicht mehr, meldet die Schnittstelle das richtig.
• Die Meldung zu einem veraltete...

Nodvard Deck 0.9.0

Deutsch: Neues Aussehen, Docker als eigenes Modul, Tresor und neue Integrationen. Alle Änderungen auf Deutsch stehen in Nodvard Deck unter Einstellungen → Über Nodvard Deck.

A new look, Docker as its own module, a vault page and new integrations.

• New: a calmer look with three themes (classic light, plain dark as the default, pro dark) and a
  fourth one, "Bisher", with the look up to 0.8. After the update Nodvard Deck asks once whether you
  want to keep the new look; the choice applies to your account on every device. Admins can add
  their own CSS under Settings → Appearance.
• New: Docker is a module of its own (formerly "Service Matrix"). Per server it shows images,
  volumes and networks with their size and the containers using them; anything unused can be
  removed after approval.
• New: Pi-hole and Nginx Proxy Manager are modules of their own with their own pages. Settings,
  tiles, credentials and open suggestions move over by themselves. Pi-hole adds the most active
  clients, updating block lists and allowing or blocking a domain.
• New: read-only beta modules for Home Assistant, Jellyfin, Plex, qBittorrent, Uptime Kuma and
  Vaultwarden, each with a page and a tile, plus a Nextcloud tile with version, updates, storage
  and load.
• New: a "Vault" page under Settings lists all stored passwords, keys and tokens with their
  expiry date and what uses them, with reminders 14 and 3 days before a token expires.
• New: Nodvard Shield checks whether a server is suited for real-time virus scanning and can
  switch it on after approval (no button in the interface yet). A server that always runs warmer
  can get its own temperature limit.
• Security: Nodvard Shield and Server status bring their own small helper, each with a narrow
  sudo rule. Quarantine, updates, scans, audits and service restarts use it once it is installed on
  the server, and it is only called if it is exactly the shipped version. Replacing or deleting
  stored credentials needs your password and, with two-factor login on, the code. Only the owner
  can change how independently Nodvard Deck acts. Logo and favicon only come from Nodvard Deck
  itself, and images from other addresses in Markdown tiles show as links. Nextcloud files in the
  file manager are for admins only, and every access is logged. Other sites can no longer embed
  Nodvard Deck, and outgoing links no longer reveal which page was open. Image update checks no
  longer send the names of self-built images to Docker Hub. Lists return at most 1000 entries per
  request, the emergency page is local-only by default, and the backup script on the server
  encrypts when a backup key is set.
• Improved: the overview shows the servers in a table with load bars. The installation guide has
  one expandable section per way: command line, Portainer and Raspberry Pi. After Nodvard Deck
  restarts during an update, the update center shows the real result. File manager uploads are
  limited to 10 GB, with a clear message when the target is full. A temperature warning needs two
  hot readings in a row. Without its own setting, the container uses the host's name server.
• Fixed: a line break in "Watched files" no longer stops intrusion detection and the file
  watcher. Shield messages no longer repeat the event type. The metric history is stored reliably
  with several servers. "Test connection" in Uptime Kuma really asks again. The operating system is
  detected on regular servers too, not only on the Raspberry Pi.

Nodvard Deck 0.8.0

Deutsch: Proxmox in einem Schritt, Apps-Seite, Inventar-Baukasten und Sicherheits-Updates. Alle Änderungen auf Deutsch stehen in Nodvard Deck unter Einstellungen → Über Nodvard Deck.

Proxmox in one step, an Apps page, the inventory as a homelab builder, and security updates.

• New: connect Proxmox in one step: enter address and password, Nodvard Deck sets up the rest
  and remembers the certificate. Alerts for nearly full Proxmox storage, missing recent backups,
  degraded ZFS pools and hot disks. Restore a guest from a backup as a copy, with a summary and
  checks before anything is created.
• New: an "Apps" page with all tiles in one place, folders and drag and drop, plus suggestions
  from Nginx Proxy Manager and detected containers. The address behind "Open" can be set per container.
• New: the inventory as a homelab builder: manufacturer, model, serial number and product link
  per device, build projects with what has been spent, racks with height units, reading the parts
  of a Linux server, and importing an order list (for example your Amazon order history). Documents
  can be attached to inventory items and picked up from a Nextcloud folder.
• New: push notifications also via Telegram, Discord, Gotify, Pushover, Matrix, Slack and
  Mattermost, with a minimum level. Servers can be set up once with a password instead of a command
  on the server. A shell into running containers, a file viewer and "important places" per server.
• New: the vault shows which module, server or account uses a secret and when it was last
  used, with an optional expiry date.
• Security: script IDs from requests can no longer point outside the script store. SVG uploads
  and Nextcloud (WebDAV) answers are read with a hardened XML parser. Checking a crafted backup
  before a restore always finishes quickly. Proxmox errors no longer show internal details in the
  browser. The password for server setup only goes to a host whose key or certificate is confirmed.
  With two-factor login on, changing your password needs the code; the login lockout counts IPv6
  addresses per /64 network; only the owner can change trusted proxies; extensions can only replace
  their own vault entries. Build tool dependencies updated.
• Improved: a clearer Proxmox page, picking servers by tiles, a Shield score that also counts
  open security updates, Fail2ban and SSH settings, restarts that are checked to keep running, and
  clearer module names ("Proxmox backups", "Push notifications", "Server status").
• Fixed: lists that fail to load show the reason and "Try again" instead of looking empty. App
  tiles open the right address. The Shield score no longer drops during a scan. A backup with
  warnings no longer counts as failed.

Nodvard Deck 0.7.0

Update-Helfer, Shield mit eigenem Namen und mehr Schutz.

• Neu: Der optionale Update-Helfer (eigene Compose-Datei deploy/compose.standalone-mit-helfer.yml) spielt künftige Versionen per Knopf ein: unter Einstellungen → System → Updates, mit Passwort und Zwei-Faktor-Code, jeder Schritt sichtbar. Startet die neue Version nicht, schaltet er von selbst zurück. 7 Tage lang geht es einmal zurück zur vorigen Version. Das erste Update per Knopf ist der Schritt von 0.7.0 auf die nächste Version.
• Neu: „Alle Updates vorschlagen“ und „Alle Sicherheitsupdates vorschlagen“ in der Update-Zentrale von Nodvard Shield, freigegeben wie gewohnt unter „Aktionen“.
• Sicherheit: Zwei-Faktor abschalten und neue Wiederherstellungs-Codes nur mit Passwort und Code. Sicherungen laden und einspielen mit Code, wenn Zwei-Faktor an ist. Die Sperre nach falschen Codes übersteht einen Neustart. Benutzerkonten und Automatik-Einstellungen stehen im Protokoll. Erweiterungen folgen keiner Umleitung.
• Behoben: Umleitungen und unerwartete Antworten von Pi-hole, Nginx Proxy Manager, ntfy, Nextcloud, Proxmox und dem KI-Server erscheinen als verständlicher Satz. Das Härtungs-Audit klappt auch, wenn Lynis über eine Stunde braucht. Skripte behalten $HOME und $(date). Falsche Zeitpläne lassen sich nicht mehr speichern. Automatische Updates starten den Server des Dashboards zuletzt neu.
• Verbessert: Nodvard Shield heißt auch intern shield. Alte Links, Einstellungen und Funde gelten weiter.

Alle 40 Einträge stehen in Nodvard Deck unter Einstellungen → Über Nodvard Deck. Die englische Kurzfassung steht in CHANGELOG.md.

Images

• ghcr.io/nodvard/deck:0.7.0 (auch latest), amd64 und arm64
• ghcr.io/nodvard/deck-updater:0.7.0 (auch 1), nur mit der Compose-Datei für den Update-Helfer

Aktualisieren von 0.6.x

Neues Image holen und neu starten (docker compose pull && docker compose up -d). Die Daten bleiben im Volume. Vorher eine Sicherung anzulegen schadet nie.