Comment mettre à jour en toute sécurité les applications Docker basées sur PHP sur votre serveur domestique

Eva Wong

IceWhale author

Eva Wong est la rédactrice technique et bricoleuse résidente chez ZimaSpace. Geek depuis toujours, passionnée par les homelabs et les logiciels open source, elle se spécialise dans la traduction de concepts techniques complexes en guides accessibles et pratiques. Eva croit que l’auto-hébergement doit être amusant, pas intimidant. À travers ses tutoriels, elle donne à la communauté les moyens de démystifier les configurations matérielles, depuis la construction de leur premier NAS jusqu’à la maîtrise des conteneurs Docker.

Conceptual guide: UPDATE WITHOUT GUESSWORK. Protect state; Replace image; Test + recover.

Un correctif de sécurité PHP intégré à un conteneur est généralement fourni par une image reconstruite. Télécharger cette image et la mettre en service sont deux étapes distinctes. Votre plan de mise à jour doit également protéger la base de données et les fichiers persistants qui subsistent après la suppression du conteneur.

Sauvegardez les données de l’application, sa base de données le cas échéant, ainsi que sa configuration avant de modifier l’image. Téléchargez une version corrigée prise en charge, recréez le service, vérifiez le conteneur de remplacement et testez l’action utilisateur essentielle avant de considérer la mise à jour comme terminée.

1. Consignez le déploiement actuel

Confirmez le répertoire du projet et les noms des services avec docker compose ps. Notez les tags et les identifiants d’image actuels avec docker compose images, ainsi que l’emplacement des volumes persistants et des données de la base de données. Conservez une copie protégée de la configuration Compose sans exposer de secrets dans des journaux partagés.

Vérifiez dans les notes de version de l’image de destination que la correction PHP est incluse. Un tag nommé latest ne garantit pas la présence d’un correctif particulier. Si vous utilisez un verrouillage par digest, celui-ci doit être remplacé par le digest de remplacement vérifié.

2. Effectuez une sauvegarde cohérente

Utilisez la méthode de sauvegarde documentée par l’application. Conservez la configuration, les fichiers et une sauvegarde de la base de données correspondant à un point de récupération cohérent. Si l’application l’exige, coordonnez la suspension des écritures ou le mode maintenance. Une copie du répertoire d’une base de données en cours d’exécution ne remplace pas systématiquement une sauvegarde valide de la base de données.

Conservez la copie de récupération hors de portée d’écriture de l’application et sachez comment la restaurer. Gardez la configuration et la référence de l’image précédentes, mais n’oubliez pas que la restauration d’une ancienne image vulnérable ne doit pas la remettre directement sur l’Internet public.

3. Téléchargez et recréez le service concerné

Pour une image publiée par le mainteneur, mettez à jour la référence de l’image du service en indiquant une version stable compatible, puis suivez cet exemple depuis le bon répertoire du projet. Remplacez app par le nom du service de votre application PHP :

docker compose pull app
docker compose up -d --no-deps app
docker compose ps
docker compose exec -T app php -v

Docker précise que pull télécharge les images sans démarrer les conteneurs ; up applique les modifications d’image ou de configuration en recréant les conteneurs. Ici, --no-deps limite la modification au service sélectionné. Utilisez cette option uniquement si les services dépendants sont déjà opérationnels et compatibles.

Pour les compilations personnalisées, mettez à jour l’image de base PHP ou les paquets concernés, reconstruisez l’image avec votre processus habituel, puis déployez-la. Répétez l’opération pour les processus de travail utilisant cet environnement d’exécution. Ne corrigez pas le problème dans le shell d’un conteneur éphémère en supposant que la correction sera conservée après sa recréation.

4. Validez l’application avant de rétablir l’accès

Vérifiez les journaux localement pour détecter les erreurs de démarrage, sans partager de jetons ni de chemins privés. Confirmez l’environnement d’exécution web, puis testez la connexion, la navigation dans les fichiers, le téléversement d’un petit fichier et une tâche en arrière-plan. Vérifiez que les chemins des volumes et les propriétaires correspondent toujours à la configuration prévue.

Si l’accès public a été restreint, ne le rétablissez qu’après avoir vérifié la version et le bon fonctionnement. Un état de conteneur indiqué comme sain ne prouve pas à lui seul que les téléversements ou les tâches en arrière-plan fonctionnent.

5. Procédez avec méthode à la récupération si la validation échoue

Isolez le service pendant l’analyse. Restaurez ensemble les fichiers de l’application et l’état de la base de données lorsque les règles de migration de l’application l’exigent ; changer uniquement l’image peut être risqué après une mise à niveau du schéma. N’utilisez pas docker compose down -v comme raccourci de dépannage, car cette commande peut supprimer les volumes nommés.

Pour les utilisateurs du ZimaCube 2, séparez le journal des mises à jour de vos fichiers en vrac et conservez des sauvegardes indépendantes. Une mise à jour réussie se termine par un environnement d’exécution connu, des fonctionnalités applicatives opérationnelles et une procédure de récupération que vous pouvez toujours expliquer.

Découvrez le ZimaCube 2 Personal Cloud Home NAS pour votre stockage privé et la configuration de vos applications auto-hébergées. La sécurité logicielle dépend des services installés, de leur configuration et des mises à jour vérifiées.

Poursuivre la série sur la sécurité PHP

Sources et périmètre

Vérifié le 22 octobre 2026. Les conseils de déploiement doivent être adaptés à votre application et à la documentation du fournisseur ; ces articles n’établissent pas l’exposition de produits spécifiques.