Registro modifiche

Rilasciato il 15 luglio 2026

• +Aggiunge metadati di cache, proxy e digest di risposta basati su standard opt-in
• +Dimostra il ricaricamento, il rollback, i controlli di integrità e la persistenza del riavvio di snapshot live autenticati
• +Aggiunge prove FIPS-backend riproducibili e un ampio rafforzamento del runtime nativo

Rilasciato il 14 luglio 2026

• +Aggiunge la chiusura graduale e limitata delle connessioni e un passaggio senza interruzioni subordinato alla verifica di disponibilità
• +Aggiunge l'attivazione rigorosa dei socket systemd con la convalida esatta dei socket di ascolto ereditati
• +Completa il rafforzamento del parser HTTP/1 e migliora la gestione del ciclo di vita dei servizi in background

Rilasciato il 13 luglio 2026

• +Aggiunge profili di sicurezza della risposta HTTP facoltativi e CORS in grado di riconoscere le richieste convalidati
• +Stabilizza gli esempi di policy Wasm eseguibili e i test richiesti dal gate di rilascio
• +Rafforza le intestazioni di identità inoltrate, l'analisi delle intestazioni e le indicazioni sui tentativi per i limiti di capacità

rilasciato il 12 luglio 2026

• +aggiunge esempi di migrazione eseguibili per iRules, OpenResty, HAProxy/SPOE e processi di policy in stile VCL
• +aggiunge il trasporto ACME limitato, la pianificazione ARI, la diagnostica del ciclo di vita e l'accettazione esplicita dei termini
• +rafforza le transazioni di certificati e account ACME recuperabili, i limiti di archiviazione e la pubblicazione di snapshot

Rilasciato il 11 luglio 2026

• +Avvia il limite WASI Preview 1 con concessione esplicita di clock e casualità e importazioni negate per impostazione predefinita
• +Ripristina GeoIP client fidato e supporta database combinati Country e ASN di CIRCL
• +Rafforza le protezioni contro SSRF in streaming e copia, snapshot autenticati, TLS, PHP-FPM, servizio statico e limiti delle risorse Wasm

Rilasciato il 10 luglio 2026

• +Aggiunge l'anteprima ABI Proxy-Wasm facoltativa con convalida esplicita dello spazio dei nomi delle chiamate host
• +Rifiuta in modo deterministico le chiamate di anteprima non supportate prima che raggiungano un upstream
• +Rafforza il routing host rigoroso, l'ammissione limitata, l'attendibilità della configurazione, l'archiviazione cache, GeoIP e la compressione

Rilasciato il 9 luglio 2026

• +Aggiunge identità esplicite dei moduli WebAssembly compilati tra digest del plugin, ABI, superficie funzionale degli hook e versione Fluxheim
• +Aggiunge budget di ammissione cache-hook per vhost sotto il limite cache-hook a livello di processo
• +Estende metriche Wasm delimitate, visibilità dello stato admin e copertura di regressione live-chain tra famiglie

Rilasciato l'8 luglio 2026

• +Aggiunge host call delimitate per componenti della cache key per varianti di classe dispositivo mobile e desktop
• +Aggiunge TTL, tag e metadati degli header archiviati fissi per cache-store senza mutazione arbitraria degli header di risposta
• +Aggiunge copertura live listener per isolamento delle varianti, slice della range cache, scadenza TTL e limiti dei metadati fail-closed

Rilasciato il 7 luglio 2026

• +Aggiunge hook Wasm HTTP/1 nativi live per cache-lookup e cache-store sotto la preview ABI limitata fluxheim_policy_v1
• +Aggiunge risultati cache per continue, pass, bypass, skip-store e deny senza esporre chiavi cache grezze, TTL, tag o metadati archiviati
• +Separa i limiti di ammissione dei cache-hook e mantiene per l’aggregazione cache-store la regola most-restrictive-wins

Rilasciato il 6 luglio 2026

• +Aggiunge hook Wasm route-decision HTTP/1 nativi live sotto la preview ABI limitata fluxheim_policy_v1
• +Aggiunge la selezione simbolica dei rami configurati per route canary e mirror senza accesso dinamico a upstream o shadow-target
• +Mantiene l’applicazione di ACL, rate limit, limiti di concorrenza, body limit, redirect e header policy di Fluxheim dopo la selezione della rotta

Rilasciato il 5 luglio 2026

• +Aggiunge hook Wasm HTTP/1 nativi live per header di richiesta e risposta su collegamenti vhost e route
• +Mantiene simbolica l’ABI degli header-hook, con mutazioni sintetiche consentite invece dell’accesso grezzo a header o body
• +Applica hook Wasm per header a livello vhost e policy di fallback response header alle risposte fallback PHP-FPM

Rilasciato il 4 luglio 2026

• +Collega hook access-decision nativi HTTP/1 live con ordine di priorità, composizione first-deny-wins e comportamento fail-closed
• +Applica limiti di ammissione dell’esecuzione a livello di processo, plugin e attachment

Rilasciato il 3 luglio 2026

• +Aggiunge la crate di workspace opzionale fluxheim-wasm
• +I feature gate wasm, wasm-proxy-abi e wasm-wasi restano disattivati per impostazione predefinita e incompatibili con privacy-mode
• +Carica file plugin Wasm solo da radici assolute approvate, rifiutando symlink, file non regolari e moduli troppo grandi
• +I manifest tipizzati dei plugin Wasm validano ABI, fase, fail-mode, percorso e limiti della sandbox prima del caricamento
• +Aggiunge esecuzione Wasmtime limitata con limiti di fuel, memoria, tabella, istanza, timeout di compilazione, worker di compilazione e watchdog per chiamata
• +Aggiunge vera copertura smoke della sandbox Wasm per esecuzione riuscita, trap, rifiuto della crescita tabella e rifiuto di manifesti fail-open non sicuri

Rilasciato il 30 giugno 2026

• +Rinomina lo shim temporaneo del proxy nativo in native_proxy e rimuove dalle build normali la vecchia riesportazione di compatibilità proxy
• +Sposta i DTO delle richieste e dei risultati di amministrazione del bilanciatore del carico nella crate fluxheim-load-balancer
• +Elimina gli adattatori root inattivi dell'era Pingora e il vecchio codice runtime e di test disabilitato che le build normali non usano più
• +Consolida l'archiviazione della configurazione del proxy nativo, affinché i ricaricamenti aggiornino lo stesso snapshot usato dai percorsi di amministrazione della cache e del bilanciatore del carico
• +Aggiunge test di regressione nativi per l'overflow dei corpi HTTP/1 chunked e fissa le immagini smoke di osservabilità a tag deterministici

Rilasciato il 30 giugno 2026

• +Mantiene i normali percorsi runtime sui percorsi Fluxheim-owned listener, TLS, HTTP/1, HTTP/2, WebSocket, cache, load-balancer, admin, metrics, stream e background service
• +Sposta auth, metrics, OpenBao cache, discovery, load-balancer cookie e TLS private-key secret buffers verso sanitization crate
• +Rafforza il routing di fallback PHP-FPM/static, il blocco di eliminazione nativo di disk-cache, la serializzazione delle mutazioni same-key disk-cache e la gestione nativa di HTTP/2 upstream authority
• +Aggiunge il supporto peer-fill shared-secret e lo richiede per il testo in chiaro non-loopback peer-fill URLs
• +Estende la copertura dei test privacy, observability, WordPress, load-balancer, smoke-image, randomized-port e release-gate per la linea stabilization

Rilasciato il 29 giugno 2026

• +Rimuove l'ultimo Pingora runtime/listener/TLS adapter crates dal normale Fluxheim build profiles
• +Mantiene il proxy nativo HTTP/1 e HTTP/2 runtime come percorso normale per le configurazioni route, cache, load-balancer, TLS, WebSocket, admin e metrics supportate
• +Collega l'eliminazione nativa di admin cache, l'eliminazione di disco stale-cache, la ricerca di oggetti cache e i gestori di statistiche/mutazioni load-balancer in tempo reale agli handle Fluxheim-owned runtime
• +Aggiorna le porte di rilascio di dependency-policy in modo che le build predefinite normali, complete, edge, PHP, privacy, RPM, sorgente e contenitore falliscano se compilano Pingora crates
• +Rafforza le anteprime e le eliminazioni native di admin cache con corrispondenza host normalizzata, anteprime regex-route, evitamento del blocco di eliminazione stale, stato di configurazione live fail-closed e contesti di build route-proxy digitati

Rilasciato il 29 giugno 2026

• +Aggiunge parità nativa proxy-cache per memoria, disco del file system, storage-bin, disco crittografato, OpenBao Transit e memory+disk tiering
• +Supporta varianti Vary e request-header, pubblicazione obsoleta, blocchi della cache, cache delle porzioni di intervallo, peer-fill e budget per la protezione dell'origine
• +Rafforza l'ammissione alla cache per Authorization, HEAD bypass, upstream Age stripping, verifica aritmetica della scadenza e only-if-cached mancati
• +Aggiunge la parità nativa di eliminazione della cache per gli indici di memoria e disco oltre alle eliminazioni esatte, in blocco, con prefisso, tag, caratteri jolly, route-scope e obsolete
• +Aggiunge l'osservabilità nativa della cache per contatori proxy, indicatori di memoria/disco, istogrammi di ricerca della cache e ID span traceparent rigenerati

Rilasciato il 28 giugno 2026

• +Adds native runtime dispatch for proxy, admin, metrics, stream, UDP, and load-balancer refresh tasks
• +Adds metrics token-file loading with zeroizing storage and constant-time bearer-token checks
• +Adds native HTTP/1 proxy runtime startup for plaintext, rustls, OpenSSL, and trusted downstream PROXY protocol listeners
• +Instrada le connessioni downstream HTTP/2 TLS selezionate nell’adattatore multi-stream nativo
• +Rafforza gli upgrade WebSocket nativi, i fallimenti locali di stream HTTP/2, lo sharding dei rate-limit e l’archiviazione zeroizing del corpo richiesta

Rilasciato il 24 giugno 2026

• +Moves cache request policy and local-static cache keys into the Pingora-independent fluxheim-cache crate
• +Moves PHP-FPM parsing, params, path mapping, static offload, error-page policy, and keep-alive pooling into fluxheim-php-fpm
• +Adds native memory local-static cache adapters for route and vhost static-web serving
• +Adds native upstream PROXY protocol v1/v2 send support and native Host router construction
• +Adds native runtime manifest and launch-plan evidence for services, listeners, background tasks, and policy rows

Pubblicato il 23 giugno 2026

• +Sposta il forwarding upstream HTTP/2 plaintext nel path proxy HTTP/1 nativo per origin h2c/prior-knowledge
• +Aggiunge connessioni upstream H2 native in pool con capacità stream bounded e retry safe-method dopo failure del pooled handle prima della response
• +Supporta upstream HTTP/2 negoziato con TLS ALPN usando policy TLS/SNI/CA upstream esistente
• +Aggiunge un fallback h2c Upgrade esplicito, disabilitato di default, per origin plaintext http1-and-http2
• +Limita handshake H2 upstream nativi, attese slot stream, keepalive ping e timeout di setup

Pubblicato il 23 giugno 2026

• +Sposta la policy compression globale/vhost ereditata nel proxy HTTP/1 nativo e nel route proxy
• +Integra l'ereditarietà policy header root/vhost/route nella costruzione route proxy nativa
• +Sposta sul path nativo ownership sicura forwarded-client-IP, trusted-chain append, regex rewrite, ACL, concorrenza e rate limit
• +Aggiunge serving challenge ACME HTTP-01 nativo, traffic mirroring, auth-request e validazione gRPC route-scoped

Pubblicato il 21 giugno 2026

• +Moves route-level native response compression onto the HTTP/1 route proxy through fluxheim-compression
• +Moves proxy.error_pages onto native HTTP/1 proxy pagine fallback basate su fluxheim-web

Pubblicato il 21 giugno 2026

• +Adds native HTTP/1 route static-web serving backed by fluxheim-web
• +Adds route request-header mutation, response rewrites, static upstream round-robin, and static upstream weights to the native route proxy

Pubblicato il 21 giugno 2026

• +Adds native route redirect actions with safe {uri}, {path}, and {query} expansion
• +Moves route body limits and response-header overlays onto native HTTP/1 route proxy responses

Pubblicato il 21 giugno 2026

• +Adds native HTTP/1 route-proxy execution for exact, prefix, and fallback routes with method filters and safe rewrite handling
• +Adds native-http1-proxy-candidate righe alle evidenze cutover runtime così i blocker compatibilità rimanenti sono espliciti

Pubblicato il 20 giugno 2026

• +Promuove la preview safety HTTP/2 downstream nativa a cutover-ready dopo test di parità mirati
• +Rende il report cutover runtime nativo rappresentativo privo di blocker per configurazioni semplici HTTP/1, HTTP/2, admin, metrics, stream e UDP

Pubblicato il 20 giugno 2026

• +Cuts stream and UDP proxy service startup over to Fluxheim-owned native task boundaries
• +Adds cancellation-safe native shutdown waiting and abort-on-cancel background task joins

Pubblicato il 20 giugno 2026

• +Starts native admin and metrics serving behind Fluxheim-owned server primitives
• +Rafforza gli handle background nativi così gli handle critici droppati abortiscono invece di staccare task silenziosamente

Pubblicato il 20 giugno 2026

• +Adds NativeBackgroundSupervisor per orchestrazione task background di proprietà Fluxheim
• +Adds critical task watchdog support and hardens shutdown delivery edge cases

Pubblicato il 20 giugno 2026

• +Adds native runtime cutover evidence gates and fluxheim-config-tester --runtime-cutover
• +Moves remaining Pingora exception targets to a documented multi-release exit plan while keeping policy gates active

Pubblicato il 19 giugno 2026

• +Adds explicit pingora-compat feature gating per il boundary runtime di compatibilità rimanente
• +Moves rustls/OpenSSL downstream TLS SNI, certificate storage, reload, PEM parsing, and native HTTP/1 TLS listener previews into Fluxheim-owned code

Pubblicato il 19 giugno 2026

• +Continua lo slice di uscita da Pingora riducendo la superficie compatibilità root rimanente per path proxy, cache e runtime
• +Divide gli health check nativi in moduli helper HTTP/gRPC, database, exec e trasporto TCP/TLS con bound probe più rigidi

Pubblicato il 19 giugno 2026

• +Rimuove la dipendenza Pingora diretta da fluxheim-load-balancer
• +Aggiunge health check attivi HTTP/1.1 bounded e h2 gRPC di proprietà Fluxheim con coverage policy per prevenire reintroduzioni Pingora

Pubblicato il 19 giugno 2026

• +Aggiunge pianificazione readiness cutover proxy HTTP/1.1 nativo su ServerPlan
• +Fallisce closed per feature proxy solo compatibilità come auth subrequest, mirroring, redirect, trasformazioni strip/rewrite e policy load-balancer avanzate

Pubblicato il 18 giugno 2026

• +Aggiunge una primitiva client upstream HTTP/2 nativa di proprietà Fluxheim con header, body, trailer e deadline bounded
• +Aggiunge test client/server h2 per preservazione trailer, response oversized, stream reset e comportamento timeout flow-control

Pubblicato il 18 giugno 2026

• +Aggiunge supporto TLS upstream e mTLS nativo rustls/OpenSSL al path proxy HTTP/1.1 staged
• +Aggiunge failover upstream statico ordinato per metodi sicuri più letture materiale TLS bounded no-follow e coverage policy hostname

Pubblicato il 18 giugno 2026

• +Aggiunge connection pooling upstream HTTP/1.1 nativo bounded per response content-length sicure e no-body origin
• +Aggiunge sizing pool keepalive, gestione timeout idle upstream, guard no-reuse conservative e test reali di riuso/scadenza socket

Pubblicato il 18 giugno 2026

• +Aggiunge primitive connection HTTP/2 native riusabili con raccolta body request bounded e supporto trailer response
• +Rafforza lifetime response HTTP/2, timeout handler, gestione capacità DATA, header/trailer proibiti e zeroizzazione body request

Pubblicato il 17 giugno 2026

• +Aggiunge il gate preview runtime HTTP/2 nativo e probe stack h2 con header, URI, body, stream, frame, buffer e policy rapid reset bounded
• +Aggiunge coverage smoke preview HTTP/2 ed estende la coverage comportamento HTTP/1 nativo per semantiche keep-alive/close HTTP/1.0

Pubblicato il 17 giugno 2026

• +Aggiunge il client upstream HTTP/1 nativo bounded e handler proxy nativo staged per upstream statici plain
• +Aggiunge inventario candidati proxy nativi, header proxy di proprietà Fluxheim, comportamento privacy-mode ed eleggibilità fail-closed per layer policy non supportati

Pubblicato il 17 giugno 2026

• +Aggiunge runtime connection/listener HTTP/1 nativo su Tokio IO e adapter static-file nativo staged
• +Mappa limiti server in policy HTTP/1 nativa e aggiunge test socket per keep-alive, body framing, shutdown, static file, client lenti e cap connessioni

Pubblicato il 17 giugno 2026

• +Aggiunge parsing request-head HTTP/1.0/HTTP/1.1 di proprietà Fluxheim, classificazione framing request-body, validazione Host, gestione persistence e decoding chunked
• +Aggiunge default policy HTTP/1 downstream e boundary parser nativi hardened per lavoro futuro di cutover runtime

Pubblicato il 16 giugno 2026

• +Moves server bootstrap planning, listener inventory, service intent, background-task intent, HTTP/2 policy, PROXY protocol policy, and private Unix socket planning into fluxheim-server
• +Mantiene il runtime corrente come adapter compatibilità esplicito mentre continua il lavoro server/listener nativo

Pubblicato il 16 giugno 2026

• +Adds fluxheim-tls come boundary di pianificazione listener TLS downstream e policy provider
• +Moves TLS listener plans, SNI selection, wildcard matching, ALPN/cipher/curve policy, and rustls/OpenSSL provider checks into the TLS crate
• +Rafforza gate feature TLS, comportamento fallback SNI, validazione firma PROXY v2 e validazione trusted PROXY CIDR

Pubblicato il 16 giugno 2026

• +Aggiunge il primo dedicato fluxheim-headers boundary per helper policy header
• +Sposta algoritmi rewrite, gestione forwarded-header, policy request hop-by-hop e join header ripetuti in codice header di proprietà Fluxheim
• +Sposta parser byte stream PROXY protocol in fluxheim-protocol and tightens privacy/proxy CIDR validation

Pubblicato il 15 giugno 2026

• +Sposta primitive lifecycle task background condivise in fluxheim-runtime
• +Moves OTLP metrics export, ACME certificate reload control, admin snapshot validation state, and rollback decisions into Fluxheim-owned runtime/snapshot code
• +Rafforza il control socket locale di reload certificati e il filtro backend privati

Pubblicato il 15 giugno 2026

• +Adds fluxheim-stream as the internal TCP stream proxy runtime boundary
• +Sposta selezione upstream stream, parsing/writing PROXY protocol, policy source, guard DNS-rebinding, accounting byte e timeout dietro codice stream di proprietà Fluxheim

Pubblicato il 14 giugno 2026

• +Moves cache key identity, object envelopes, disk index management, storage-bin helpers, tag handling, and cache storage interfaces into fluxheim-cache
• +Aggiunge test e release gate che impongono i target di rimozione Pingora durante normali esecuzioni cargo test

Pubblicato il 14 giugno 2026

• +Avvia la prima release implementativa concreta 1.6.x dopo il tag foundation
• +Removes pingora-load-balancing/pingora-ketama from full and load-balancer image profiles, restores 1.6 load-balancer image builds, and moves TCP health checks plus request-key extraction behind Fluxheim-owned boundaries

Pubblicato il 14 giugno 2026

• +Avviata la linea foundation uscita da Pingora 1.6.x mantenendo invariato il comportamento runtime
• +Aggiunta validazione policy modularità, eccezioni legacy per file oversized, cattura baseline runtime e cattura evidenze performance
• +Aggiunte eccezioni dipendenza Pingora gated da release, fixture parità runtime e grafo estrazione dipendenze
• +Added initial fluxheim-runtime and fluxheim-server crate boundary più primitive proof policy tipizzate

giugno 2026

• +Introduced the enterprise HTTP/TCP load-balancer line with focused binaries, images, runtime member and weight controls, persistence, health checks, queueing, and migration docs
• +Expanded Fluxheim-owned runtime boundaries across HTTP, stream proxying, load balancing, background tasks, cache interfaces, observability, config, and shared crates
• +Aggiunti cookie affinity gestiti, service discovery, health check attivi e protocol-aware, stato persistente al riavvio e controlli mutazione backend runtime
• +Added UDP beta guardrails, cache origin-protection budgets, ARM/Linux and macOS developer assets, config tester archives, and broad proxy/cache/PHP-FPM security hardening

Pubblicato il 25 maggio 2026

• +Production proxy parity release with trusted-proxy-aware ACLs, local rate limits, concurrency limits, bounded queues, and edge policy metrics
• +gzip, Zstandard, and Brotli response compression with vhost/route overrides and cache-safe Vary handling
• +Resilienza load-balancer, parità TLS/protocollo, PROXY protocol v1/v2, upstream mTLS, controlli HTTP/2 e gRPC pass-through

Pubblicato il 23 maggio 2026

• +Managed php-fpm process supervision under the existing php-fpm feature, while external php-fpm remains the default
• +Watchdog respawn, backoff bounded, teardown SIGTERM-prima-di-SIGKILL, ambiente sanificato e stato pool generato privato
• +Auditable [vhosts.php.fpm] mode = "managed" superficie config per socket privati, conteggi worker, modalità process manager, slowlog, path temp e file pool
• +Coverage smoke WordPress PHP-FPM estesa su modalità external, managed-static, managed-dynamic, managed-ondemand e managed-respawn
• +Recommended Wolfi PHP image now installs php-8.5-fpm and uses managed php-fpm container config by default

Pubblicato il 23 maggio 2026

• +FIPS/ISO-required configs fail closed for unsupported internal cryptography, managed ACME, and local cache encryption
• +Provider-backed admin auth, numeric-local-loopback OTLP exception, and OpenBao Transit cache encryption evidence boundary
• +New compliance evidence template and release evidence package sections for regulated reviews

Pubblicato il 22 maggio 2026

• +backend candidato rustls/AWS-LC FIPS-capable tramite tls-rustls-fips
• +Alias profilo rustls FIPS e ISO/IEC 19790, esempi config, diagnostica e script validazione

Pubblicato il 21 maggio 2026

• +Validazione TLS OpenSSL FIPS/ISO-capable tramite tls-openssl-fips e diagnostica provider
• +Guida deployment FIPS, fixture config, script validazione, evidenze release e baseline OWASP Top 10 2025

Pubblicato il 20 maggio 2026

• +Pooling keepalive PHP-FPM, retry/failover upstream e spooling disk body request per operazioni più sicure sotto carico
• +WordPress routing/cache preset plus PHP application recipes for common framework and forum deployments
• +Metriche PHP e attributi OpenTelemetry, supporto X-Accel-Redirect, X-Sendfile e X-Accel-Expires

Pubblicato il 18 maggio 2026

• +fluxheim-acme binario companion standalone per rinnovo certificati, stato e signalling socket reload ACME
• +fluxheim-config-tester binario standalone per validare config in CI ed entrypoint container senza avviare il gateway
• +Socket Unix reload ACME — pickup certificati live senza riavviare il gateway
• +Nuovo profilo build profile-php — proxy + web + php-fpm + tls-rustls + security
• +Security hardening improvements across the request pipeline

Pubblicato il 16 maggio 2026

• +Opt-in PHP-FPM FastCGI bridge for WordPress-style front-controller applications
• +Risoluzione script rigorosa e gestione request/response FastCGI bounded
• +Browser-validated WordPress proxy/PHP cookie compatibility fixes
• +PHP-FPM può servire asset statici dalla stessa root instradando PHP verso FPM
• +New php-fpm Cargo feature (implies profilo proxy and web)

Pubblicato il 14 maggio 2026

• +Shared ingress/TLS feature-graph split — focused cache and proxy profiles are now TLS/ACME-capable
• +New profile-cache-edge — cache without static web module
• +New profile-proxy-edge — focused reverse proxy edge
• +Official focused container images for cache and proxy profiles

maggio 2026

2026

• + Profili policy TLS
• + Multi-certificate rustls SNI
• + Emissione e rinnovo certificati ACME gestiti
• + Issuer con EAB (Actalis e altri)
• + Segreti TLS file-backed
• + acme-init strumento guidato bootstrap issuer
• + Unit systemd pacchettizzate per rinnovo certificati

2026

• + Routing virtual host tramite Host header con default-vhost fallback
• + Route-level static, proxy, and redirect actions
• + Static file serving with MIME detection, ETag, conditional 304, byte ranges
• + Whole-vhost and route-level reverse proxying
• + rustls TLS with SNI, static/bought certificate support
• + Forwarding sicuro challenge ACME HTTP-01
• + Admin control-plane with bearer-token auth and brute-force throttling
• + Policy header request/response sicura
• + Redirect HTTP→HTTPS opzionale con validazione Host sicura
• + Unit systemd, packaging RPM
• + Rootless Podman container images