Seznam změn

Vydáno 15. července 2026

• +Přidává mezipaměť, proxy a metadata pro zpracování odpovědí založená na standardech
• +Prokazuje znovu načtení ověřeného živého snímku, vrácení zpět, kontroly integrity a vytrvalost restartu
• +Přidává reprodukovatelný důkaz FIPS-backend a široké nativní zpevnění za běhu

Vydáno 14. července 2026

• +Přidává časově omezené šetrné dokončení existujících spojení a předání bez výpadku podmíněné připraveností
• +Přidává striktní aktivaci socketů systemd s přesnou kontrolou zděděných naslouchacích socketů
• +Dokončuje zpřísnění parseru HTTP/1 a posiluje správu vlastnictví služeb na pozadí

Vydáno 13. července 2026

• +Přidává volitelné profily zabezpečení odezvy HTTP a ověřené CORS s ohledem na požadavky
• +Stabilizuje spustitelné příklady zásad Wasm a testy vyžadované bránou vydání
• +Posiluje hlavičky předávané identity, analýzu hlaviček a pokyny k opakování pro omezení kapacity

Vydáno 12. července 2026

• +Přidává spustitelné příklady migrace pro úlohy zásad iRules, OpenResty, HAProxy/SPOE a VCL
• +Přidává omezený přenos ACME, plánování ARI, diagnostiku životního cyklu a přijímání explicitních podmínek
• +Posiluje obnovitelné transakce ACME účtů a certifikátů, hranice úložiště a publikování snímků

Vydáno 11. července 2026

• +Spouští volitelné rozhraní WASI Preview 1 s explicitními oprávněními pro hodiny a náhodnost a zákazy importů ve výchozím nastavení
• +Obnovuje důvěryhodný GeoIP klienta a podporuje kombinované databáze země a ASN od CIRCL
• +Posiluje ochranu proti SSRF v datech a kopírování, ověřené snímky, TLS, PHP-FPM, statické poskytování obsahu a omezení prostředků Wasm

Vydáno 10. července 2026

• +Přidává volitelný náhled ABI Proxy-Wasm s explicitním ověřením jmenného prostoru volání hostitele
• +Deterministicky odmítá nepodporovaná náhledová volání dříve, než dorazí k upstreamu
• +Posiluje striktní směrování hostitelů, omezené přijímání, důvěryhodnost konfigurace, úložiště cache, GeoIP a kompresi

Vydáno 9. července 2026

• +Přidává explicitní identity zkompilovaných WebAssembly module podle plugin digest, ABI, hook feature surface a verze Fluxheim
• +Přidává cache-hook admission budgets pro každý vhost pod process-wide cache-hook ceiling
• +Rozšiřuje omezené Wasm metrics, viditelnost admin status a cross-family live-chain regression pokrytí

Vydáno 8. července 2026

• +Přidává omezené host calls pro komponenty cache-key pro varianty tříd zařízení mobile a desktop
• +Přidává pevné cache-store TTL, tag a stored-header metadata bez libovolné mutace response-header
• +Přidává pokrytí live listener pro izolaci variant, range-cache slices, vypršení TTL a fail-closed limity metadata

Vydáno 7. července 2026

• +Přidává live native HTTP/1 cache-lookup a cache-store Wasm hooks pod omezeným fluxheim_policy_v1 preview ABI
• +Přidává výsledky cache pro continue, pass, bypass, skip-store a deny bez vystavení raw cache keys, TTLs, tags nebo uložených metadata
• +Odděluje admission limity pro cache hooks a zachovává agregaci cache-store jako most-restrictive-wins

Vydáno 6. července 2026

• +Přidává živé nativní HTTP/1 route-decision Wasm hooky pod omezeným preview ABI fluxheim_policy_v1
• +Přidává symbolický výběr nakonfigurovaných větví pro canary a mirror trasy bez dynamického upstream nebo shadow-target přístupu
• +Zachovává vynucování Fluxheim ACL, rate limitů, concurrency limitů, body limitů, redirectů a header policy po výběru trasy

Vydáno 5. července 2026

• +Přidává živé nativní HTTP/1 Wasm hooky pro request-header a response-header pro připojení vhost a route
• +Zachovává ABI header-hooků symbolické s povolenými syntetickými mutacemi místo surového přístupu k headerům nebo tělu
• +Aplikuje Wasm header-hooky na úrovni vhost a fallback response header policy na PHP-FPM fallback odpovědi

Vydáno 4. července 2026

• +Napojí živé nativní HTTP/1 access-decision hooky s prioritním pořadím, kompozicí first-deny-wins a fail-closed chováním
• +Vynucuje limity přijetí spuštění na úrovni procesu, pluginu a attachmentu

Vydáno 3. července 2026

• +Přidává volitelný workspace crate fluxheim-wasm pro linii Wasm sandboxu
• +Feature gate wasm, wasm-proxy-abi a wasm-wasi jsou ve výchozím stavu vypnuté a nekompatibilní s privacy-mode
• +Načítá soubory Wasm pluginů pouze ze schválených absolutních rootů; symlinky, neregulární soubory a příliš velké moduly jsou odmítnuty
• +Typované manifesty pluginů Wasm před načtením ověřují ABI, fázi, fail-mode, cestu a limity sandboxu
• +Přidává omezené spouštění Wasmtime s limity fuel, memory, table, instance, compile-timeout, compile-worker a per-call watchdog
• +Přidává skutečné smoke pokrytí Wasm sandboxu pro úspěšné spuštění, traps, odmítnutí table-growth a odmítnutí nebezpečného fail-open manifestu

Vydáno 30. června 2026

• +Přejmenovává dočasnou mezivrstvu nativního proxy na native_proxy a z běžných sestavení odstraňuje starý reexport kompatibility proxy
• +Přesouvá DTO požadavků a výsledků správy load balanceru do crate fluxheim-load-balancer
• +Odstraňuje neaktivní kořenové adaptéry z éry Pingora a zastaralý vypnutý runtime a testovací kód, který běžná sestavení již nepoužívají
• +Sjednocuje ukládání konfigurace nativního proxy, aby opětovné načtení aktualizovalo stejný snapshot, který používají administrační cesty cache a load balanceru
• +Přidává nativní regresní testy přetečení chunked těla HTTP/1 a připíná observability smoke obrazy k deterministickým tagům

Vydáno 30. června 2026

• +Udržuje normální runtime na cestách Fluxheim-owned listener, TLS, HTTP/1, HTTP/2, WebSocket, cache, load-balancer, admin, metrics, stream a background service
• +Posouvá soubory cookie auth, metrics, OpenBao cache, discovery, load-balancer a TLS private-key secret buffers směrem k sanitization crate
• +Posiluje záložní směrování PHP-FPM/static, nativní zamykání čištění disk-cache, serializaci mutace same-key disk-cache a nativní zpracování HTTP/2 upstream authority
• +Přidává podporu peer-fill shared-secret a vyžaduje ji pro non-loopback prostý text peer-fill URLs
• +Rozšiřuje testovací pokrytí privacy, observability, WordPress, load-balancer, smoke-image, randomized-port a release-gate pro řadu stabilization

Vydáno 29. června 2026

• +Odstraní finální Pingora runtime/listener/TLS adapter crates z normálního Fluxheim build profiles
• +Udržuje nativní proxy HTTP/1 a HTTP/2 runtime jako normální cestu pro podporované konfigurace route, cache, load-balancer, TLS, WebSocket, admin a metrics
• +Připojí nativní admin cache purge, stale disk-cache purge, cache object search a živé load-balancer obslužné nástroje statistik/mutací do Fluxheim-owned runtime rukojetí
• +Aktualizace dependency-policy uvolňují brány, takže normální výchozí, úplné, okrajové, PHP, soukromí, RPM, zdrojové a kontejnerové sestavení selžou, pokud zkompilují Pingora crates
• +Zpevňuje nativní náhledy a čištění admin cache pomocí normalizovaného párování hostitelů, náhledy regex-route, zabránění uzamčení stale, stav živé konfigurace fail-closed a zadané kontexty sestavení route-proxy

Vydáno 29. června 2026

• +Přidá nativní paritu proxy-cache pro paměť, disk souborového systému, storage-bin, šifrovaný disk, OpenBao Transit a vrstvení memory+disk
• +Podporuje varianty Vary a request-header, zastaralé poskytování, zámky mezipaměti, mezipaměť segmentů rozsahu, peer-fill a rozpočty na ochranu původu
• +Posiluje přístup do mezipaměti pro Authorization, HEAD bypass, upstream Age stripping, zkontrolovanou aritmetiku vypršení platnosti a only-if-cached misses
• +Přidá nativní paritu čištění mezipaměti pro paměťové a diskové indexy plus přesné, hromadné, předpony, značky, zástupné znaky, route-scope a zastaralé čištění
• +Přidává nativní pozorovatelnost mezipaměti pro čítače proxy, měřidla paměti/disků, histogramy vyhledávání mezipaměti a regenerovaná ID rozsahu traceparent

Vydáno 28. června 2026

• +Adds native runtime dispatch for proxy, admin, metrics, stream, UDP, and load-balancer refresh tasks
• +Adds metrics token-file loading with zeroizing storage and constant-time bearer-token checks
• +Adds native HTTP/1 proxy runtime startup for plaintext, rustls, OpenSSL, and trusted downstream PROXY protocol listeners
• +Směruje vybraná downstream připojení HTTP/2 TLS do nativního multi-stream adaptéru
• +Zpevňuje nativní upgrady WebSocket, lokální chyby streamů HTTP/2, sharding rate-limitů a zeroizing ukládání těla požadavku

Vydáno 24. června 2026

• +Moves cache request policy and local-static cache keys into the Pingora-independent fluxheim-cache crate
• +Moves PHP-FPM parsing, params, path mapping, static offload, error-page policy, and keep-alive pooling into fluxheim-php-fpm
• +Adds native memory local-static cache adapters for route and vhost static-web serving
• +Adds native upstream PROXY protocol v1/v2 send support and native Host router construction
• +Adds native runtime manifest and launch-plan evidence for services, listeners, background tasks, and policy rows

Vydáno 23. června 2026

• +Přesouvá plaintext upstream HTTP/2 forwarding do native HTTP/1 proxy path pro h2c/prior-knowledge origin
• +Přidává pooled native upstream H2 connections s bounded stream capacity a safe-method retry po pre-response pooled-handle failure
• +Podporuje TLS ALPN-negotiated upstream HTTP/2 s existující upstream TLS/SNI/CA policy
• +Přidává explicitní, ve výchozím stavu vypnutý h2c Upgrade fallback pro plaintext http1-and-http2 origin
• +Omezuje native upstream H2 handshakes, stream-slot waits, keepalive pings a setup timeouts

Vydáno 23. června 2026

• +Přesouvá inherited global/vhost compression policy do native HTTP/1 proxy a route proxy
• +Slučuje root/vhost/route header-policy inheritance do native route proxy construction
• +Přesouvá safe forwarded-client-IP ownership, trusted-chain append, regex rewrites, ACL, concurrency a rate limits na native path
• +Přidává native ACME HTTP-01 challenge serving, traffic mirroring, auth-request a route-scoped gRPC validation

Vydáno 21. června 2026

• +Moves route-level native response compression onto the HTTP/1 route proxy through fluxheim-compression
• +Moves proxy.error_pages onto native HTTP/1 proxy fallback stránky podporované přes fluxheim-web

Vydáno 21. června 2026

• +Adds native HTTP/1 route static-web serving backed by fluxheim-web
• +Adds route request-header mutation, response rewrites, static upstream round-robin, and static upstream weights to the native route proxy

Vydáno 21. června 2026

• +Adds native route redirect actions with safe {uri}, {path}, and {query} expansion
• +Moves route body limits and response-header overlays onto native HTTP/1 route proxy responses

Vydáno 21. června 2026

• +Adds native HTTP/1 route-proxy execution for exact, prefix, and fallback routes with method filters and safe rewrite handling
• +Adds native-http1-proxy-candidate řádky do runtime cutover evidence, aby zbývající compatibility blockers byly explicitní

Vydáno 20. června 2026

• +Povyšuje native HTTP/2 downstream safety preview na cutover-ready po zaměřených parity test
• +Dělá representative native runtime cutover report blocker-free pro jednoduché HTTP/1, HTTP/2, admin, metrics, stream a UDP konfigurace

Vydáno 20. června 2026

• +Cuts stream and UDP proxy service startup over to Fluxheim-owned native task boundaries
• +Adds cancellation-safe native shutdown waiting and abort-on-cancel background task joins

Vydáno 20. června 2026

• +Starts native admin and metrics serving behind Fluxheim-owned server primitives
• +Zpevňuje nativní handly úloh na pozadí, takže zahozené kritické handly úlohu ukončí místo tichého odpojení

Vydáno 20. června 2026

• +Adds NativeBackgroundSupervisor pro Fluxheim-owned background task orchestration
• +Adds critical task watchdog support and hardens shutdown delivery edge cases

Vydáno 20. června 2026

• +Adds native runtime cutover evidence gates and fluxheim-config-tester --runtime-cutover
• +Moves remaining Pingora exception targets to a documented multi-release exit plan while keeping policy gates active

Vydáno 19. června 2026

• +Adds explicit pingora-compat feature gating pro zbývající compatibility runtime boundary
• +Moves rustls/OpenSSL downstream TLS SNI, certificate storage, reload, PEM parsing, and native HTTP/1 TLS listener previews into Fluxheim-owned code

Vydáno 19. června 2026

• +Pokračuje v Pingora-exit slice zmenšením zbývajícího root compatibility surface pro proxy, cache a runtime paths
• +Dělí native health checks na HTTP/gRPC, database, exec a TCP/TLS transport helper modules s přísnějšími probe bounds

Vydáno 19. června 2026

• +Odstraňuje přímou Pingora dependency z fluxheim-load-balancer
• +Přidává Fluxheim-owned bounded HTTP/1.1 a h2 gRPC active health checks s policy coverage proti návratu Pingora

Vydáno 19. června 2026

• +Přidává native HTTP/1.1 proxy cutover readiness planning na ServerPlan
• +Fails closed pro compatibility-only proxy features jako auth subrequests, mirroring, redirects, strip/rewrite transforms a advanced load-balancer policy

Vydáno 18. června 2026

• +Přidává Fluxheim-owned native HTTP/2 upstream client primitive s bounded headers, bodies, trailers a deadlines
• +Přidává h2 client/server test pro trailer preservation, oversized responses, stream resets a flow-control timeout behavior

Vydáno 18. června 2026

• +Přidává native rustls/OpenSSL upstream TLS a mTLS podporu do staged HTTP/1.1 proxy path
• +Přidává ordered static upstream failover pro safe methods plus bounded no-follow TLS material reads a hostname-policy coverage

Vydáno 18. června 2026

• +Přidává omezený native HTTP/1.1 pooling upstream připojení pro bezpečné content-length a origin odpovědi bez body
• +Přidává keepalive pool sizing, upstream idle timeout handling, conservative no-reuse guards a real socket reuse/expiry tests

Vydáno 18. června 2026

• +Přidává reusable native HTTP/2 connection primitives s bounded request-body collection a response trailer support
• +Hardens HTTP/2 response lifetime, handler timeout, DATA capacity handling, prohibited headers/trailers a request-body zeroization

Vydáno 17. června 2026

• +Přidává native HTTP/2 runtime preview gate a h2 stack probe s bounded headers, URI, body, streams, frames, buffers a rapid reset policy
• +Přidává HTTP/2 preview smoke coverage a rozšiřuje native HTTP/1 behavior coverage pro HTTP/1.0 keep-alive/close semantics

Vydáno 17. června 2026

• +Přidává omezeného native HTTP/1 upstream klienta a připravený native proxy handler pro plain static upstream
• +Přidává native proxy candidate inventory, Fluxheim-owned proxy headers, privacy-mode behavior a fail-closed eligibility pro unsupported policy layers

Vydáno 17. června 2026

• +Přidává native HTTP/1 connection/listener runtime nad Tokio IO a staged native static-file adapter
• +Mapuje server limits do native HTTP/1 policy a přidává socket tests pro keep-alive, body framing, shutdown, static files, slow clients a connection caps

Vydáno 17. června 2026

• +Přidává Fluxheim-owned HTTP/1.0/HTTP/1.1 request-head parsing, request-body framing classification, Host validation, persistence handling a chunked decoding
• +Přidává downstream HTTP/1 policy defaults a hardened native parser boundaries pro budoucí runtime cutover work

Vydáno 16. června 2026

• +Moves server bootstrap planning, listener inventory, service intent, background-task intent, HTTP/2 policy, PROXY protocol policy, and private Unix socket planning into fluxheim-server
• +Drží současný runtime jako explicitní compatibility adapter, zatímco pokračuje native server/listener work

Vydáno 16. června 2026

• +Adds fluxheim-tls jako downstream TLS listener planning a provider-policy boundary
• +Moves TLS listener plans, SNI selection, wildcard matching, ALPN/cipher/curve policy, and rustls/OpenSSL provider checks into the TLS crate
• +Hardens TLS feature gates, SNI fallback behavior, PROXY v2 signature validation a trusted PROXY CIDR validation

Vydáno 16. června 2026

• +Přidává první dedikovaný fluxheim-headers boundary pro header policy helpers
• +Přesouvá rewrite algorithms, forwarded-header handling, hop-by-hop request policy a repeated-header joining do Fluxheim-owned header code
• +Přesouvá stream PROXY protocol byte parsers do fluxheim-protocol and tightens privacy/proxy CIDR validation

Vydáno 15. června 2026

• +Přesouvá shared background task lifecycle primitives do fluxheim-runtime
• +Moves OTLP metrics export, ACME certificate reload control, admin snapshot validation state, and rollback decisions into Fluxheim-owned runtime/snapshot code
• +Hardens local certificate reload control socket a private backend filtering

Vydáno 15. června 2026

• +Adds fluxheim-stream as the internal TCP stream proxy runtime boundary
• +Přesouvá stream upstream selection, PROXY protocol parsing/writing, source policy, DNS-rebinding guards, byte accounting a timeout handling za Fluxheim-owned stream code

Vydáno 14. června 2026

• +Moves cache key identity, object envelopes, disk index management, storage-bin helpers, tag handling, and cache storage interfaces into fluxheim-cache
• +Přidává test a release gates, které enforced Pingora dependency removal targets během běžného cargo test běhu

Vydáno 14. června 2026

• +Spouští první konkrétní 1.6.x implementation release po foundation tag
• +Removes pingora-load-balancing/pingora-ketama from full and load-balancer image profiles, restores 1.6 load-balancer image builds, and moves TCP health checks plus request-key extraction behind Fluxheim-owned boundaries

Vydáno 14. června 2026

• +Spuštěna 1.6.x Pingora-exit foundation linie při zachování runtime behavior beze změny
• +Přidána modularity policy validation, legacy oversized-file exceptions, runtime baseline capture a performance evidence capture
• +Přidány release-gated Pingora dependency exceptions, runtime parity fixtures a extraction dependency graph
• +Added initial fluxheim-runtime and fluxheim-server boundary crates plus typované policy proof primitives

červen 2026

• +Introduced the enterprise HTTP/TCP load-balancer line with focused binaries, images, runtime member and weight controls, persistence, health checks, queueing, and migration docs
• +Expanded Fluxheim-owned runtime boundaries across HTTP, stream proxying, load balancing, background tasks, cache interfaces, observability, config, and shared crates
• +Přidány managed affinity cookies, service discovery, active a protocol-aware health checks, restart-persistent state a runtime backend mutation controls
• +Added UDP beta guardrails, cache origin-protection budgets, ARM/Linux and macOS developer assets, config tester archives, and broad proxy/cache/PHP-FPM security hardening

Vydáno 25. května 2026

• +Production proxy parity release with trusted-proxy-aware ACLs, local rate limits, concurrency limits, bounded queues, and edge policy metrics
• +gzip, Zstandard, and Brotli response compression with vhost/route overrides and cache-safe Vary handling
• +Load-balancer resilience, TLS/protocol parity, PROXY protocol v1/v2, upstream mTLS, HTTP/2 controls a gRPC pass-through

Vydáno 23. května 2026

• +Managed php-fpm process supervision under the existing php-fpm feature, while external php-fpm remains the default
• +Respawn watchdog, bounded backoff, SIGTERM-before-SIGKILL teardown, sanitized environment a private generated pool state
• +Auditable [vhosts.php.fpm] mode = "managed" config surface pro private sockets, worker counts, process manager modes, slowlog, temp paths a pool files
• +Rozšířena WordPress PHP-FPM smoke coverage přes external, managed-static, managed-dynamic, managed-ondemand a managed-respawn modes
• +Recommended Wolfi PHP image now installs php-8.5-fpm and uses managed php-fpm container config by default

Vydáno 23. května 2026

• +FIPS/ISO-required configs fail closed for unsupported internal cryptography, managed ACME, and local cache encryption
• +Provider-backed admin auth, numeric-local-loopback OTLP exception, and OpenBao Transit cache encryption evidence boundary
• +New compliance evidence template and release evidence package sections for regulated reviews

Vydáno 22. května 2026

• +rustls/AWS-LC FIPS-capable candidate backend přes tls-rustls-fips
• +FIPS a ISO/IEC 19790 rustls profile aliases, config examples, diagnostics a validation script

Vydáno 21. května 2026

• +OpenSSL FIPS/ISO-capable TLS validation přes tls-openssl-fips a provider diagnostics
• +FIPS deployment guide, config fixtures, validation script, release evidence a OWASP Top 10 2025 baseline

Vydáno 20. května 2026

• +PHP-FPM keepalive pooling, upstream retry/failover a request body disk spooling pro bezpečnější provoz pod zátěží
• +WordPress routing/cache preset plus PHP application recipes for common framework and forum deployments
• +PHP metrics a OpenTelemetry attributes, X-Accel-Redirect, X-Sendfile a X-Accel-Expires support

Vydáno 18. května 2026

• +fluxheim-acme standalone companion binary pro certificate renewal, status a ACME reload socket signalling
• +fluxheim-config-tester standalone binary pro config validation v CI a container entrypoint bez spuštění gateway
• +ACME reload Unix socket — live certificate pickup bez gateway restart
• +Nový profile-php build profile — proxy + web + php-fpm + tls-rustls + security
• +Security hardening improvements across the request pipeline

Vydáno 16. května 2026

• +Opt-in PHP-FPM FastCGI bridge for WordPress-style front-controller applications
• +Strict script resolution a bounded FastCGI request/response handling
• +Browser-validated WordPress proxy/PHP cookie compatibility fixes
• +PHP-FPM může servírovat static assets ze stejného root při routování PHP do FPM
• +New php-fpm Cargo feature (implies proxy profil and web)

Vydáno 14. května 2026

• +Shared ingress/TLS feature-graph split — focused cache and proxy profiles are now TLS/ACME-capable
• +New profile-cache-edge — cache without static web module
• +New profile-proxy-edge — focused reverse proxy edge
• +Official focused container images for cache and proxy profiles

květen 2026

2026

• + TLS policy profily
• + Multi-certificate rustls SNI
• + Managed ACME certificate issuance a renewal
• + EAB-capable issuers (Actalis a další)
• + File-backed TLS secret
• + acme-init guided issuer bootstrap nástroj
• + Zabalené certificate renewal systemd units

2026

• + Virtual host routing podle Host header s default-vhost fallback
• + Route-level static, proxy, and redirect actions
• + Static file serving with MIME detection, ETag, conditional 304, byte ranges
• + Whole-vhost and route-level reverse proxying
• + rustls TLS with SNI, static/bought certificate support
• + Bezpečný ACME HTTP-01 challenge forwarding
• + Admin control-plane with bearer-token auth and brute-force throttling
• + Secure request/response header policy pravidla
• + Volitelné přesměrování HTTP→HTTPS s bezpečným ověřením Host
• + Systemd unit a RPM packaging
• + Rootless Podman container images