Traefik ha publicado la versión v3.7.15 con varias correcciones de errores y mejoras de documentación. La nota de la versión incluye arreglos relevantes para el manejo de peticiones CONNECT en el servidor, ajustes en integraciones con Kubernetes (CRD, Gateway API e Ingress-NGINX) y correcciones en FastProxy que afectan a conexiones actualizadas y lectura concurrente de buffers.
Qué cambia y por qué importa
La actualización aborda primero dos problemas relacionados con el método HTTP CONNECT: el servidor ahora rechaza las solicitudes CONNECT independientemente de la versión HTTP y lo hace antes de que la petición llegue al muxer. Esto reduce la superficie de ataque y evita que solicitudes CONNECT no autorizadas lleguen a capas internas del proxy.
En el ámbito de Kubernetes, hay varias correcciones y mejoras:
- Las definiciones CRD permiten ahora incluir metadata de observabilidad en routers hijos, lo que facilita la instrumentación y el seguimiento de rutas creadas por recursos personalizados.
- Se ha actualizado la dependencia sigs.k8s.io/gateway-api a v1.6.3 y, además, Traefik cambia el comportamiento por defecto del backend en HTTPRoute: cuando no se especifica appProtocol, el esquema por defecto será HTTP. Esto evita confusiones y fallos por omisión del protocolo en rutas HTTP dentro del Gateway API.
- Para integraciones con ingress-nginx se aplicó la autenticación TLS de clientes (auth-tls) a todo el host y se corrigió la comprobación entre namespaces al compartir secretos TLS usados en auth-tls, cerrando un hueco de configuración que podía provocar comportamientos inconsistentes.
Correcciones en FastProxy y dependencias
FastProxy recibió dos correcciones destacadas: se añadió una prueba no regresiva que comprueba el manejo de CR/LF en cabeceras de petición, y se solucionó un problema de lecturas concurrentes de buffers en conexiones que han sido actualizadas (upgraded connections). Estos arreglos son importantes para entornos con proxys reversos que manejan WebSocket u otras conexiones que pasan por un «upgrade» y para evitar corrupciones o condiciones de carrera en el procesamiento de cabeceras.
Además, se actualizó la dependencia golang.org/x/net a la versión v0.60.0, lo que suele incluir mejoras y correcciones en el manejo de protocolos de red y utilidades estándar para Go.
Documentación y limpieza
La versión incluye varias correcciones y mejoras de documentación: arreglos de enlaces rotos en las páginas de referencia CRD y Gateway API, aclaraciones sobre el impacto de safeNaming en referencias entre proveedores, correcciones de anclas, y la incorporación de una guía de estilo de documentación en la sección de contribución. También se corrigieron pequeños errores tipográficos y se eliminó puntuación redundante en el README.
¿A quién afecta y qué deben hacer los administradores?
La actualización interesa a administradores de infraestructura y desarrolladores que usan Traefik como router inverso o gateway, especialmente en entornos Kubernetes que emplean CRD, Gateway API o ingress-nginx, y a quienes usan FastProxy o conexiones actualizadas (por ejemplo, WebSocket). Los cambios en el manejo de CONNECT y en la aplicación de auth-tls pueden alterar comportamientos en entornos con configuraciones inusuales.
Recomendaciones prácticas:
- Leer la guía de migración indicada en la nota (importante): seguir los pasos oficiales antes de actualizar para evitar incompatibilidades.
- Probar la nueva versión en un entorno de staging que reproduzca cargas y rutas de Kubernetes —prestar atención a rutas HTTPRoute sin appProtocol y a la aplicación de auth-tls a hosts completos.
- Verificar integraciones que dependan de conexiones actualizadas (WebSocket, HTTP/2 upgrades) para descartar condiciones de carrera o errores en producción.
- Actualizar las dependencias de proyectos que vendan o empaqueten Traefik si requieren la versión de golang.org/x/net mencionada.
Si tras las pruebas no se detectan incompatibilidades relevantes, procede aplicar la actualización en producción siguiendo tus procedimientos habituales de despliegue y monitorización.
Lee también:
- Apple dona al proyecto LLVM un driver SSAF para análisis estático y transformaciones de código
- AWS muestra en su laboratorio switches de hasta 102,4 Tbps, cifrado a línea y red de tiempo privada
Fuente: Release notes from traefik
