Resumo
O Traefik 3.7.16 corrige o vazamento de identidade NTLM e Negotiate no ForwardAuth e oferece autenticação vinculada à conexão também nas requisições de auth-url do provedor Kubernetes Ingress NGINX. A versão muda ainda a forma como os middlewares dos provedores Kubernetes carregam valores vindos de Secrets. Antes de atualizar, confira os painéis e consultas de API que leem a configuração dos middlewares.
Novidades
- Traefik 3.7.16 — ForwardAuth: o middleware oferece suporte a autenticação NTLM e Kerberos, incluindo o encaminhamento das requisições de autenticação do provedor Ingress NGINX para um serviço com autenticação integrada do Windows.
Melhorias
- Traefik 3.7.16 — Gateway API: a preparação da suíte de conformidade funciona com o armazenamento de imagens do containerd, o que evita falhas no ambiente de testes do provedor.
- Traefik 3.7.16 — Documentação: a página do provedor Ingress NGINX registra que a reescrita é aceita em configuration-snippet.
Correções
- Traefik 3.7.16 — Segurança: a falha GHSA-hrpp-p4fc-wwf8 deixa de permitir que uma conexão autenticada por um usuário atenda a subconsulta de outro cliente no ForwardAuth. O isolamento por conexão de frontend vale também para o servidor de autenticação.
- Traefik 3.7.16 — Provedores Kubernetes: o suporte a NTLM e Kerberos no ForwardAuth alcança as requisições de autenticação externa disparadas pela anotação auth-url do provedor Ingress NGINX.
Breaking changes
Os middlewares dos provedores Kubernetes CRD e Ingress NGINX guardam a referência à chave do Secret, no formato urn:k8s:secret:<nome do secret>:<chave>, no lugar do valor lido do Secret. O Traefik lê o valor ao montar o middleware, então o comportamento em tempo de requisição permanece o mesmo. A API, o dashboard e o support dump mostram a referência, o que altera automações que comparavam o valor literal na configuração publicada.
Ponto de Atenção
Rotas que usam ForwardAuth contra um servidor IIS com autenticação do Windows, ou contra outro serviço que vincule a identidade à conexão, precisam ser conferidas depois da atualização. O novo isolamento por conexão deve ser validado com dois clientes distintos. Também revise painéis, alertas e scripts que leem a configuração dos middlewares pela API e esperam encontrar o valor do Secret no lugar da referência.
Teste sugerido: em homologação, acesse uma rota protegida por ForwardAuth com NTLM ou Negotiate a partir de dois clientes separados e confirme que o segundo recebe 401. Consulte /api/http/middlewares e verifique o formato urn:k8s:secret: nos campos que antes traziam o valor. Repita a leitura pelo dashboard e pelo support dump.
Notas da versão
O release oficial do Traefik 3.7.16 foi publicado em 20/10/2026 às 15h19 UTC. A versão anterior da mesma linha, 3.7.15, saiu em 15/10/2026. O guia de migração da linha 3.7 descreve a mudança das referências a Secrets.