Introduction
Forgejo, la plateforme auto-hébergée de collaboration de code, vient de sortir sa version 16.0 le 16 juillet 2026. Cette mise à jour apporte des changements importants en matière de sécurité et de conformité, tout en conservant sa légèreté et sa simplicité d'utilisation. Si tu cherches à comprendre comment ces changements peuvent optimiser ton projet, cet article est pour toi.
Renforcement des Miroirs Contre les SSRF
L'une des mises à jour les plus notables concerne le renforcement des miroirs contre les attaques SSRF (Server-Side Request Forgery). Désormais, les administrateurs peuvent configurer précisément quels hôtes Forgejo peut accéder via les paramètres de config [migrations].ALLOWED_DOMAINS/LOCKED_DOMAINS/ALLOW_LOCALNETWORKS. Cette mise à jour corrige des cas particuliers où ces paramètres pouvaient être contournés, notamment lors d'accès Git via HTTP(S) où les redirections HTTP étaient suivies par défaut. Avec la nouvelle configuration http.followRedirects=false, ces redirections sont maintenant traitées comme des erreurs, renforçant ainsi la sécurité de ton environnement de développement.
Suppression de l'EXIF
Un autre changement majeur est la suppression de la fonctionnalité de retrait des métadonnées EXIF des images, introduite initialement dans Forgejo v13.0. En raison d'une erreur de licence, cette fonctionnalité s'appuyait sur une bibliothèque sous licence AGPL. Pour rester en conformité, cette fonctionnalité a été retirée jusqu'à ce qu'une alternative soit trouvée.
Paramétrage des Proxies de Confiance dans les Conteneurs
Forgejo a également mis à jour la configuration par défaut des proxies de confiance dans les environnements conteneurisés. Auparavant, REVERSE_PROXY_TRUSTED_PROXIES = * était configuré par défaut, ce qui pouvait permettre à un utilisateur non autorisé d'accéder à Forgejo sans passer par un proxy inverse effectuant une authentification. Désormais, il est recommandé de définir explicitement une valeur appropriée pour ce paramètre afin de renforcer la sécurité, même dans un environnement Docker avec iptables.
Conclusion
Forgejo v16.0 n'est pas seulement une mise à jour de routine ; elle introduit des améliorations essentielles pour sécuriser davantage ton processus de développement tout en respectant les normes de conformité. Si tu envisages de passer à cette nouvelle version, veille à suivre les guides de mise à jour et à sauvegarder tes données. Discutons de ton projet en 15 minutes pour voir comment ces nouveautés peuvent te profiter.
Call to Action
Discutons de ton projet en 15 minutes.