Resumo
O Traefik 3.7.14 corrige oito avisos de segurança que afetam NTLM, Negotiate, FastProxy, opções TLS e o provedor Ingress NGINX. A versão também muda os nomes gerados pelo provedor, a precedência de rotas no Gateway API e a agregação de histogramas do OpenTelemetry. Antes de atualizar, revise painéis, alertas e consultas de API que dependem dos nomes antigos de rotas e serviços.
Novidades
A versão não anuncia recurso novo. O conjunto de mudanças prioriza correções de segurança e ajustes de compatibilidade nos provedores Kubernetes.
Melhorias
- Traefik 3.7.14 — Gateway API: a API sobe para v1.6.2, os Gateways podem ser configurados e a ordenação dos Gateways mantém estável a ordem dos certificados TLS.
- Traefik 3.7.14 — ACME: o lego sobe para 5.5.2, e o arquivo de armazenamento recém-criado é fechado corretamente no Windows.
- Traefik 3.7.14 — Observabilidade: os históricos de duração de requisição seguem a agregação exponencial do OpenTelemetry quando a variável de ambiente correspondente está definida.
- Traefik 3.7.14 — Dependências: o Docker CLI sobe para 29.8.1, o golang.org/x/crypto para 0.57.0 e os exportadores do OpenTelemetry para as versões atuais.
- Traefik 3.7.14 — Balanceamento: a seleção do segundo servidor no balanceador P2C deixa de favorecer sempre o mesmo destino.
- Traefik 3.7.14 — UDP: os datagramas são copiados para buffers do tamanho correto antes de entrar na fila.
Correções
- Traefik 3.7.14 — Segurança: as falhas GHSA-53qr-784g-cj35, GHSA-cw35-4q88-3rmp, GHSA-fh26-gfpp-7xxx, GHSA-mwrr-6hp4-pxr6, GHSA-qm9f-w54v-q2qh, GHSA-qvj7-gq9c-hp7q, GHSA-rv2h-qh7j-xrjw e GHSA-mhjw-hmjv-p99x deixam de afetar a linha 3.7. O isolamento de conexões NTLM e Negotiate vale no FastProxy e no fluxo preautenticado, o estado de TLS é sempre definido e as opções TLS do provedor Ingress NGINX deixam de colidir.
- Traefik 3.7.14 — Ingress NGINX: a rota HTTP de ssl-passthrough é construída como qualquer outro Ingress, os cabeçalhos Ssl-Client são definidos na rota HTTP e os nomes de recurso não são mais normalizados.
- Traefik 3.7.14 — Gateway API: rotas que atendem a mesma requisição com a mesma precedência deixam de gerar routers concorrentes, e conflitos entre HTTPRoute e GRPCRoute são corrigidos.
- Traefik 3.7.14 — Casamento de rotas: matchers negados são ignorados ao extrair os domínios da rota, o que evita conflitos de TLS indevidos.
- Traefik 3.7.14 — RateLimit: o script Lua deixa de usar table.maxn, removido nas versões atuais do Lua.
- Traefik 3.7.14 — Access logs: metadados de IngressRoute ficam disponíveis nos logs de acesso.
Breaking changes
O provedor Ingress NGINX mantém os pontos nos nomes dos recursos. Um Ingress chamado my.ingress gera default-my.ingress-rule-0-path-0 no lugar de default-my-ingress-rule-0-path-0. As rotas e middlewares criados nos entrypoints HTTP para um Ingress com ssl-passthrough também são renomeados para o formato de rota e caminho. Dashboards, alertas e consultas de API que dependem dos nomes anteriores precisam ser atualizados.
No Gateway API, quando duas rotas atendem a mesma requisição com a mesma precedência, somente a rota mais antiga, ou a primeira em ordem alfabética por namespace e nome, gera router. O Traefik registra um aviso com o nome do router que atende a rota. Os nomes dos routers de TLSRoute ligados a vários listeners no mesmo entrypoint também mudam, porque o sufixo de hash considera a rota.
Ponto de Atenção
A atualização reúne oito correções de segurança e altera nomes gerados em dois provedores. Revise a lista de painéis e alertas antes de aplicar a versão. Ao ativar histogramas exponenciais no OpenTelemetry, confira as séries usadas nos gráficos, porque os limites explícitos não são aplicados nesse modo.
Teste sugerido: em homologação, compare os nomes de routers, serviços e middlewares no dashboard e na API antes e depois da atualização. Abra um Ingress com auth-tls-secret e outro Ingress no mesmo host sem a anotação, acesse o backend protegido sem certificado de cliente e confirme a recusa. Repita com um certificado válido e confirme o acesso.
Notas da versão
O release oficial do Traefik 3.7.14 foi publicado em 06/10/2026 às 07h49 UTC. O guia de migração da linha 3.7 detalha os nomes gerados pelo provedor Ingress NGINX, a precedência de rotas no Gateway API, os nomes de TLSRoute e a agregação de histogramas.