Journal des changements

Sortie le 15 juillet 2026

• +Ajoute des métadonnées facultatives et conformes aux normes pour le cache, le proxy et les empreintes de réponse
• +Démontre le rechargement et la restauration authentifiés des instantanés actifs, les contrôles d'intégrité et la persistance après redémarrage
• +Ajoute des preuves reproductibles pour les backends FIPS et renforce largement le runtime natif

Sortie le 14 juillet 2026

• +Ajoute la fermeture progressive et bornée des connexions ainsi qu'un basculement sans interruption conditionné par l'état de préparation
• +Ajoute l'activation stricte des sockets systemd avec validation exacte des sockets d'écoute hérités
• +Achève le durcissement de l'analyseur HTTP/1 et renforce la maîtrise du cycle de vie des services en arrière-plan

Sortie le 13 juillet 2026

• +Ajoute des profils de sécurité de réponse HTTP facultatifs et un CORS validé prenant en compte les requêtes
• +Stabilise les exemples de politiques Wasm exécutables et les tests requis par la porte de publication
• +Renforce les en-têtes d'identité transférés, l'analyse des en-têtes et les conseils de nouvelle tentative pour les limites de capacité

sortie le 12 juillet 2026

• +ajoute des exemples de migration exécutables pour les tâches de stratégie de style iRules, OpenResty, HAProxy/SPOE et VCL
• +ajoute le transport ACME limité, la planification ARI, les diagnostics de cycle de vie et l'acceptation explicite des termes.
• +renforce les transactions de compte et de certificat ACME récupérables, les limites de stockage et la publication d'instantanés

Publié le 11 juillet 2026

• +Introduit la frontière optionnelle WASI Preview 1 avec des autorisations explicites pour l'horloge et l'aléatoire, les imports étant refusés par défaut
• +Restauration de la base GeoIP du client de confiance et prise en charge des bases combinées Country et ASN de CIRCL
• +Renforce la protection SSRF et la copie des flux, les instantanés authentifiés, TLS, PHP-FPM, le service statique et les limites de ressources Wasm

Publié le 10 juillet 2026

• +Ajoute l’aperçu facultatif de l’ABI Proxy-Wasm avec validation explicite de l’espace de noms des appels hôte
• +Rejette de manière déterministe les appels d’aperçu non pris en charge avant qu’ils n’atteignent un serveur en amont
• +Renforce le routage strict des hôtes, l’admission bornée, la confiance dans la configuration, le stockage du cache, GeoIP et la compression

Publié le 9 juillet 2026

• +Ajoute des identités explicites pour les modules WebAssembly compilés couvrant digest du plugin, ABI, surface de hooks et version Fluxheim
• +Ajoute des budgets d’admission des hooks de cache par hôte virtuel sous le plafond global du processus
• +Étend les métriques Wasm bornées, la visibilité du statut admin et la couverture de régression live-chain inter-familles

Publié le 8 juillet 2026

• +Ajoute des appels hôte de composants cache-key bornés pour les variantes mobile et bureau de classe d’appareil
• +Ajoute au stockage du cache des métadonnées fixes de TTL, d’étiquette et d’en-tête enregistré, sans permettre de modification arbitraire des en-têtes de réponse
• +Ajoute des tests sur l’écouteur actif pour l’isolation des variantes, les segments de cache par plage, l’expiration des TTL et les plafonds de métadonnées en échec fermé

Publié le 7 juillet 2026

• +Ajoute des hooks Wasm cache-lookup et cache-store HTTP/1 natifs en direct sous l’ABI de prévisualisation bornée fluxheim_policy_v1
• +Ajoute des résultats de cache continue, pass, bypass, skip-store et deny sans exposer les clés de cache brutes, TTL, tags ou métadonnées stockées
• +Sépare les limites d’admission des hooks de cache et garde l’agrégation cache-store en mode most-restrictive-wins

Publié le 6 juillet 2026

• +Ajoute des hooks Wasm route-decision HTTP/1 natifs en direct sous l’ABI de prévisualisation bornée fluxheim_policy_v1
• +Ajoute une sélection symbolique de branches configurées pour les routes canary et mirror, sans accès upstream dynamique ni shadow-target
• +Préserve l’application des ACL, rate limits, limites de concurrence, body limits, redirections et politiques d’en-têtes Fluxheim après la sélection de route

Publié le 5 juillet 2026

• +Ajoute des hooks Wasm HTTP/1 natifs en direct pour les en-têtes de requête et de réponse sur les rattachements vhost et route
• +Garde l’ABI des hooks d’en-têtes symbolique, avec des mutations synthétiques autorisées au lieu d’un accès brut aux en-têtes ou au corps
• +Applique les hooks Wasm d’en-têtes au niveau vhost et la politique d’en-têtes de réponse de repli aux réponses de repli PHP-FPM

Publié le 4 juillet 2026

• +Connecte des hooks access-decision natifs HTTP/1 en direct avec ordre de priorité, composition first-deny-wins et comportement fail-closed
• +Applique des plafonds d’admission d’exécution au niveau du processus, du plugin et de l’attachement

Publié le 3 juillet 2026

• +Ajoute la crate de workspace optionnelle fluxheim-wasm
• +Les feature gates wasm, wasm-proxy-abi et wasm-wasi restent désactivés par défaut et incompatibles avec privacy-mode
• +Charge les fichiers de plugins Wasm uniquement depuis des racines absolues approuvées, avec rejet des liens symboliques, fichiers non réguliers et modules trop grands
• +Les manifestes typés des plugins Wasm valident l’ABI, la phase, le fail-mode, le chemin et les limites de sandbox avant chargement
• +Ajoute une exécution Wasmtime bornée avec limites de fuel, mémoire, table, instance, délai de compilation, workers de compilation et watchdog par appel
• +Ajoute une vraie couverture smoke de sandbox Wasm pour l’exécution réussie, les traps, le refus de croissance de table et le rejet des manifestes fail-open dangereux

Sortie le 30 juin 2026

• +Renomme le shim proxy natif temporaire en native_proxy et retire le vieux réexport de compatibilité proxy des builds normaux
• +Déplace les DTO de requête et de résultat admin load-balancer dans la crate fluxheim-load-balancer
• +Supprime les adaptateurs racine inertes de l’époque Pingora et le vieux code runtime/test désactivé que les builds normaux n’utilisent plus
• +Consolide le stockage de configuration du proxy natif afin que les rechargements rafraîchissent le même instantané utilisé par les chemins admin cache et load-balancer
• +Ajoute une couverture de régression native HTTP/1 pour le débordement des corps chunked et épingle les images smoke observability sur des tags déterministes

Sortie le 30 juin 2026

• +Conserve le runtime normal sur les chemins Fluxheim-owned listener, TLS, HTTP/1, HTTP/2, WebSocket, cache, load-balancer, admin, metrics, stream et background service
• +Déplace les cookies auth, metrics, OpenBao cache, discovery, load-balancer et TLS private-key secret buffers vers le sanitization crate
• +Renforce le routage de secours PHP-FPM/static, le verrouillage de purge natif disk-cache, la sérialisation des mutations same-key disk-cache et la gestion native HTTP/2 upstream authority
• +Ajoute la prise en charge de peer-fill shared-secret et l'exige pour le texte en clair non-loopback peer-fill URLs
• +Étend la couverture des tests privacy, observability, WordPress, load-balancer, smoke-image, randomized-port et release-gate pour la gamme stabilization

Publié le 29 juin 2026

• +Supprime le Pingora runtime/listener/TLS adapter crates final du Fluxheim build profiles normal
• +Conserve le proxy natif HTTP/1 et HTTP/2 runtime comme chemin normal pour les configurations route, cache, load-balancer, TLS, WebSocket, admin et metrics prises en charge.
• +Connecte la purge native admin cache, la purge disque stale-cache, la recherche d'objet cache et les gestionnaires de statistiques/mutations load-balancer en direct aux poignées Fluxheim-owned runtime.
• +Met à jour les portes de publication dependency-policy afin que les versions normales par défaut, complètes, Edge, PHP, confidentialité, RPM, source et conteneur échouent si elles compilent Pingora crates.
• +Renforce les aperçus et purges natifs admin cache avec une correspondance d'hôte normalisée, des aperçus regex-route, un évitement du verrouillage de purge stale, un état de configuration en direct fail-closed et des contextes de construction route-proxy typés.

Publié le 29 juin 2026

• +Ajoute la parité native proxy-cache pour la mémoire, le disque du système de fichiers, storage-bin, le disque chiffré, OpenBao Transit et la hiérarchisation memory+disk
• +Prend en charge les variantes Vary et request-header, les services obsolètes, les verrous de cache, le cache de tranches de plage, peer-fill et les budgets de protection d'origine
• +Renforce l'admission au cache pour Authorization, le contournement HEAD, le décapage Age en amont, la vérification de l'arithmétique d'expiration et les échecs only-if-cached
• +Ajoute la parité native de purge du cache pour les index de mémoire et de disque, ainsi que les purges exactes, groupées, préfixes, balises, génériques, route-scope et périmées.
• +Ajoute une observabilité native du cache pour les compteurs proxy, les jauges mémoire/disque, les histogrammes de recherche de cache et les ID de span traceparent régénérés

Publié le 28 juin 2026

• +Adds native runtime dispatch for proxy, admin, metrics, stream, UDP, and load-balancer refresh tasks
• +Adds metrics token-file loading with zeroizing storage and constant-time bearer-token checks
• +Adds native HTTP/1 proxy runtime startup for plaintext, rustls, OpenSSL, and trusted downstream PROXY protocol listeners
• +Achemine les connexions downstream HTTP/2 TLS sélectionnées vers l’adaptateur multi-stream natif
• +Renforce les upgrades WebSocket natifs, les échecs locaux de flux HTTP/2, le sharding des limites de débit et le stockage zeroizing du corps de requête

Publié le 24 juin 2026

• +Moves cache request policy and local-static cache keys into the Pingora-independent fluxheim-cache crate
• +Moves PHP-FPM parsing, params, path mapping, static offload, error-page policy, and keep-alive pooling into fluxheim-php-fpm
• +Adds native memory local-static cache adapters for route and vhost static-web serving
• +Adds native upstream PROXY protocol v1/v2 send support and native Host router construction
• +Adds native runtime manifest and launch-plan evidence for services, listeners, background tasks, and policy rows

Publié le 23 juin 2026

• +Déplace le forwarding HTTP/2 upstream en clair dans le chemin proxy HTTP/1 natif pour les origins h2c/prior-knowledge
• +Ajoute des connexions H2 upstream natives poolées avec capacité de stream bornée et retry pour méthodes sûres après échec pre-response d'un handle poolé
• +Prend en charge l'HTTP/2 upstream négocié par TLS ALPN avec la policy upstream TLS/SNI/CA existante
• +Ajoute un fallback h2c Upgrade explicite, désactivé par défaut, pour les origins http1-and-http2 en clair
• +Borne les handshakes H2 upstream natifs, les attentes de slots de stream, les pings keepalive et les timeouts de setup

Publié le 23 juin 2026

• +Déplace la policy de compression globale/vhost héritée dans le proxy HTTP/1 natif et le proxy de route
• +Fusionne l'héritage des policies de headers root/vhost/route dans la construction native du proxy de route
• +Déplace la propriété sûre de forwarded-client-IP, l'ajout trusted-chain, les rewrites regex, ACLs, concurrence et rate limits vers le chemin natif
• +Ajoute le service natif des challenges ACME HTTP-01, le mirroring de trafic, auth-request et la validation gRPC limitée à la route

Publié le 21 juin 2026

• +Moves route-level native response compression onto the HTTP/1 route proxy through fluxheim-compression
• +Moves proxy.error_pages onto native HTTP/1 proxy pages de fallback appuyées par fluxheim-web

Publié le 21 juin 2026

• +Adds native HTTP/1 route static-web serving backed by fluxheim-web
• +Adds route request-header mutation, response rewrites, static upstream round-robin, and static upstream weights to the native route proxy

Publié le 21 juin 2026

• +Adds native route redirect actions with safe {uri}, {path}, and {query} expansion
• +Moves route body limits and response-header overlays onto native HTTP/1 route proxy responses

Publié le 21 juin 2026

• +Adds native HTTP/1 route-proxy execution for exact, prefix, and fallback routes with method filters and safe rewrite handling
• +Adds native-http1-proxy-candidate lignes aux preuves de bascule runtime afin que les bloqueurs de compatibilité restants soient explicites

Publié le 20 juin 2026

• +Promeut la preview de sécurité downstream HTTP/2 native au statut prêt pour le cutover après des tests de parité ciblés
• +Rend le rapport représentatif de bascule runtime native sans bloqueur pour les configurations simples HTTP/1, HTTP/2, admin, métriques, stream et UDP

Publié le 20 juin 2026

• +Cuts stream and UDP proxy service startup over to Fluxheim-owned native task boundaries
• +Adds cancellation-safe native shutdown waiting and abort-on-cancel background task joins

Publié le 20 juin 2026

• +Starts native admin and metrics serving behind Fluxheim-owned server primitives
• +Durcit les handles background natifs afin que les handles critiques abandonnés abortent au lieu de détacher silencieusement des tâches

Publié le 20 juin 2026

• +Adds NativeBackgroundSupervisor pour l'orchestration de tâches background possédée par Fluxheim
• +Adds critical task watchdog support and hardens shutdown delivery edge cases

Publié le 20 juin 2026

• +Adds native runtime cutover evidence gates and fluxheim-config-tester --runtime-cutover
• +Moves remaining Pingora exception targets to a documented multi-release exit plan while keeping policy gates active

Publié le 19 juin 2026

• +Adds explicit pingora-compat feature gating explicite pour la frontière runtime de compatibilité restante
• +Moves rustls/OpenSSL downstream TLS SNI, certificate storage, reload, PEM parsing, and native HTTP/1 TLS listener previews into Fluxheim-owned code

Publié le 19 juin 2026

• +Poursuit la tranche de sortie de Pingora en réduisant la surface de compatibilité racine restante pour les chemins proxy, cache et runtime
• +Sépare les health checks natifs en modules auxiliaires HTTP/gRPC, base de données, exec et transport TCP/TLS avec des bornes de probe plus strictes

Publié le 19 juin 2026

• +Supprime la dépendance directe à Pingora de fluxheim-load-balancer
• +Ajoute des health checks actifs HTTP/1.1 bornés et h2 gRPC appartenant à Fluxheim, avec couverture policy pour empêcher la réintroduction de Pingora

Publié le 19 juin 2026

• +Ajoute la planification de readiness de bascule proxy HTTP/1.1 native sur ServerPlan
• +Échoue fermé pour les fonctionnalités proxy de compatibilité uniquement comme les sous-requêtes d'authentification, le mirroring, les redirections, les transformations strip/rewrite et les policies load-balancer avancées

Publié le 18 juin 2026

• +Ajoute une primitive client upstream HTTP/2 native appartenant à Fluxheim, avec headers, bodies, trailers et deadlines bornés
• +Ajoute des tests client/serveur h2 pour la conservation des trailers, les réponses surdimensionnées, les resets de stream et le comportement de timeout du flow-control

Publié le 18 juin 2026

• +Ajoute le support TLS et mTLS upstream natif rustls/OpenSSL au chemin proxy HTTP/1.1 staged
• +Ajoute un failover upstream statique ordonné pour les méthodes sûres, ainsi que des lectures bornées de matériel TLS no-follow et une couverture de policy hostname

Publié le 18 juin 2026

• +Ajoute un pooling de connexions upstream HTTP/1.1 natif borné pour les réponses d'origine sûres avec content-length ou sans corps
• +Ajoute le dimensionnement du pool keepalive, la gestion du timeout idle upstream, des gardes no-reuse conservatrices et de vrais tests de réutilisation/expiration de sockets

Publié le 18 juin 2026

• +Ajoute des primitives de connexion HTTP/2 natives réutilisables avec collecte bornée du corps de requête et support des trailers de réponse
• +Renforce la durée de vie des réponses HTTP/2, le timeout de handler, la gestion de capacité DATA, les headers/trailers interdits et la zeroization du corps de requête

Publié le 17 juin 2026

• +Ajoute le gate de preview du runtime HTTP/2 natif et le probe de stack h2 avec headers, URI, corps, streams, frames, buffers et policy rapid reset bornés
• +Ajoute la couverture smoke de preview HTTP/2 et étend la couverture du comportement HTTP/1 natif pour la sémantique keep-alive/close HTTP/1.0

Publié le 17 juin 2026

• +Ajoute le client upstream HTTP/1 natif borné et le handler proxy natif staged pour les upstreams statiques simples
• +Ajoute l'inventaire des candidats proxy natifs, les headers proxy appartenant à Fluxheim, le comportement privacy mode et l'éligibilité fail-closed pour les couches de policy non prises en charge

Publié le 17 juin 2026

• +Ajoute le runtime natif de connexion/listener HTTP/1 sur Tokio IO et l'adaptateur natif staged pour fichiers statiques
• +Mappe les limites serveur dans la policy HTTP/1 native et ajoute des tests socket pour keep-alive, framing du corps, shutdown, fichiers statiques, clients lents et plafonds de connexions

Publié le 17 juin 2026

• +Ajoute le parsing request-head HTTP/1.0/HTTP/1.1 appartenant à Fluxheim, la classification du framing de corps, la validation Host, la gestion de persistance et le décodage chunked
• +Ajoute des defaults de policy HTTP/1 downstream et des frontières de parser natif renforcées pour les futurs travaux de bascule runtime

Publié le 16 juin 2026

• +Moves server bootstrap planning, listener inventory, service intent, background-task intent, HTTP/2 policy, PROXY protocol policy, and private Unix socket planning into fluxheim-server
• +Conserve le runtime actuel comme adaptateur de compatibilité explicite pendant que le travail serveur/listener natif continue

Publié le 16 juin 2026

• +Adds fluxheim-tls comme frontière de planification du listener TLS downstream et de policy provider
• +Moves TLS listener plans, SNI selection, wildcard matching, ALPN/cipher/curve policy, and rustls/OpenSSL provider checks into the TLS crate
• +Renforce les feature gates TLS, le comportement de fallback SNI, la validation de signature PROXY v2 et la validation CIDR des PROXY de confiance

Publié le 16 juin 2026

• +Ajoute le premier dédié fluxheim-headers frontière pour les helpers de policy de headers
• +Déplace les algorithmes de rewrite, la gestion des forwarded headers, la policy de requête hop-by-hop et la jonction des headers répétés dans le code de headers appartenant à Fluxheim
• +Déplace les parsers d'octets du protocole PROXY stream dans fluxheim-protocol and tightens privacy/proxy CIDR validation

Publié le 15 juin 2026

• +Déplace les primitives partagées de cycle de vie des tâches d'arrière-plan dans fluxheim-runtime
• +Moves OTLP metrics export, ACME certificate reload control, admin snapshot validation state, and rollback decisions into Fluxheim-owned runtime/snapshot code
• +Renforce le socket local de contrôle du rechargement de certificat et le filtrage des backends privés

Publié le 15 juin 2026

• +Adds fluxheim-stream as the internal TCP stream proxy runtime boundary
• +Déplace la sélection upstream stream, le parsing/écriture du protocole PROXY, la policy source, les protections DNS-rebinding, le comptage d'octets et la gestion des timeouts derrière le code stream appartenant à Fluxheim

Publié le 14 juin 2026

• +Moves cache key identity, object envelopes, disk index management, storage-bin helpers, tag handling, and cache storage interfaces into fluxheim-cache
• +Ajoute des tests et des release gates qui imposent les objectifs de suppression des dependances Pingora pendant les executions normales de cargo test

Publié le 14 juin 2026

• +Démarre la première version d'implémentation concrète 1.6.x après le tag de fondation
• +Removes pingora-load-balancing/pingora-ketama from full and load-balancer image profiles, restores 1.6 load-balancer image builds, and moves TCP health checks plus request-key extraction behind Fluxheim-owned boundaries

Publié le 14 juin 2026

• +A demarre la ligne de fondation de sortie de Pingora 1.6.x tout en conservant le comportement runtime inchange
• +A ajouté la validation de policy de modularité, les exceptions legacy pour fichiers surdimensionnés, la capture de baseline runtime et la capture de preuves de performance
• +A ajouté les exceptions de dépendances Pingora gated par release, les fixtures de parité runtime et le graphe de dépendances d'extraction
• +Added initial fluxheim-runtime and fluxheim-server crates de frontière plus primitives typées de preuve de policy

Juin 2026

• +Introduced the enterprise HTTP/TCP load-balancer line with focused binaries, images, runtime member and weight controls, persistence, health checks, queueing, and migration docs
• +Expanded Fluxheim-owned runtime boundaries across HTTP, stream proxying, load balancing, background tasks, cache interfaces, observability, config, and shared crates
• +A ajouté les cookies d'affinité gérés, la découverte de services, les health checks actifs et protocol-aware, l'état persistant après redémarrage et les contrôles de mutation backend runtime
• +Added UDP beta guardrails, cache origin-protection budgets, ARM/Linux and macOS developer assets, config tester archives, and broad proxy/cache/PHP-FPM security hardening

Publié le 25 mai 2026

• +Production proxy parity release with trusted-proxy-aware ACLs, local rate limits, concurrency limits, bounded queues, and edge policy metrics
• +gzip, Zstandard, and Brotli response compression with vhost/route overrides and cache-safe Vary handling
• +Résilience load-balancer, parité TLS/protocole, protocole PROXY v1/v2, mTLS upstream, contrôles HTTP/2 et pass-through gRPC

Publié le 23 mai 2026

• +Managed php-fpm process supervision under the existing php-fpm feature, while external php-fpm remains the default
• +Watchdog de respawn, backoff borné, teardown SIGTERM avant SIGKILL, environnement assaini et état de pool généré privé
• +Auditable [vhosts.php.fpm] mode = "managed" surface de configuration pour sockets privés, nombres de workers, modes de process manager, slowlog, chemins temporaires et fichiers de pool
• +A étendu la couverture smoke WordPress PHP-FPM aux modes external, managed-static, managed-dynamic, managed-ondemand et managed-respawn
• +Recommended Wolfi PHP image now installs php-8.5-fpm and uses managed php-fpm container config by default

Publié le 23 mai 2026

• +FIPS/ISO-required configs fail closed for unsupported internal cryptography, managed ACME, and local cache encryption
• +Provider-backed admin auth, numeric-local-loopback OTLP exception, and OpenBao Transit cache encryption evidence boundary
• +New compliance evidence template and release evidence package sections for regulated reviews

Publié le 22 mai 2026

• +backend candidat rustls/AWS-LC compatible FIPS via tls-rustls-fips
• +Alias de profils rustls FIPS et ISO/IEC 19790, exemples de configuration, diagnostics et script de validation

Publié le 21 mai 2026

• +Validation TLS OpenSSL compatible FIPS/ISO via tls-openssl-fips et diagnostics provider
• +Guide de déploiement FIPS, fixtures de configuration, script de validation, preuves de release et baseline OWASP Top 10 2025

Publié le 20 mai 2026

• +Pooling keepalive PHP-FPM, retry/failover upstream et spooling disque du corps de requête pour un fonctionnement plus sûr sous charge
• +WordPress routing/cache preset plus PHP application recipes for common framework and forum deployments
• +Métriques PHP et attributs OpenTelemetry, support X-Accel-Redirect, X-Sendfile et X-Accel-Expires

Publié le 18 mai 2026

• +fluxheim-acme binaire compagnon autonome pour le renouvellement des certificats, le statut et la signalisation du socket de reload ACME
• +fluxheim-config-tester binaire autonome pour valider les configurations en CI et dans les entrypoints conteneur sans démarrer le gateway
• +Socket Unix de reload ACME - prise en compte live des certificats sans redémarrage du gateway
• +Nouveau profil de build profile-php — proxy + web + php-fpm + tls-rustls + security
• +Security hardening improvements across the request pipeline

Publié le 16 mai 2026

• +Opt-in PHP-FPM FastCGI bridge for WordPress-style front-controller applications
• +Résolution stricte des scripts et traitement requête/réponse FastCGI borné
• +Browser-validated WordPress proxy/PHP cookie compatibility fixes
• +PHP-FPM peut servir les assets statiques depuis la même racine tout en routant PHP vers FPM
• +New php-fpm Cargo feature (implies proxy and web)

Publié le 14 mai 2026

• +Shared ingress/TLS feature-graph split — focused cache and proxy profiles are now TLS/ACME-capable
• +New profile-cache-edge — cache without static web module
• +New profile-proxy-edge — focused reverse proxy edge
• +Official focused container images for cache and proxy profiles

Mai 2026

2026

• + Profils de policy TLS
• + Multi-certificate rustls SNI
• + Émission et renouvellement de certificats ACME gérés
• + Issuers compatibles EAB (Actalis et autres)
• + Secrets TLS adossés à des fichiers
• + acme-init outil guidé de bootstrap d'issuer
• + Unités systemd packagées pour le renouvellement des certificats

2026

• + Routage virtual host par header Host avec fallback default-vhost
• + Route-level static, proxy, and redirect actions
• + Static file serving with MIME detection, ETag, conditional 304, byte ranges
• + Whole-vhost and route-level reverse proxying
• + rustls TLS with SNI, static/bought certificate support
• + Forwarding sûr des challenges ACME HTTP-01
• + Admin control-plane with bearer-token auth and brute-force throttling
• + Policy sécurisée de headers requête/réponse
• + Redirection HTTP→HTTPS optionnelle avec validation sûre de Host
• + Unité systemd, packaging RPM
• + Rootless Podman container images