Watchtower на автоапдейте — удобство или мина замедленного действия?

[sleepypanic]

Поставил Watchtower, теперь все контейнеры всегда latest. Кайф, ничего руками не дёргаю. Коллега говорит что это безумие и я однажды проснусь со сломанным домом. Кто прав?

[kickmybox]

Коллега прав. latest + автоапдейт = рано или поздно мажорный релиз с breaking changes уронит сервис ночью, и ты будешь чинить в трусах в 3 утра. Особенно базы данных, их так трогать категорически нельзя.

[sleepypanic]

Компромисс: Watchtower в режиме monitor-only (только уведомления), без auto-update. Узнаёшь что вышел апдейт, читаешь changelog, обновляешь сам когда готов. Получаешь инфу, не теряешь контроль.

[kingpaul]

А пин версий не спасёт? Типа image:1.2 вместо latest, тогда автоапдейт тянет только минорки внутри ветки.

[hogan20]

Спасёт частично, но многие проекты не дисциплинированы с semver, и '1.2' может прилететь с сюрпризом. Лучший вариант: пинуй конкретные теги, обновляй пачками раз в неделю руками, и бэкап volume перед апдейтом базы. Скучно, но дом стоит.

[kernel2]

Окей, перевёл Watchtower в notify-only, базы запинил жёстко на конкретные версии. Остальное буду катать руками по выходным. Спасибо, ночные сюрпризы мне не нужны.

[remoteraccoon]

Коллега прав в том смысле, что latest — это не тег, это отсутствие тега. Конкретный сценарий который у меня случился: Watchtower поднял новый образ Vaultwarden в 3 часа ночи, в нём сломалась совместимость с форматом базы данных, и утром пользователи не могли войти. Rollback вручную в 7 утра — это не весело. Минимальная защита: поставь --label com.centurylinklabs.watchtower.enable=false на контейнеры с персистентными данными (базы, Vaultwarden, Home Assistant) и обновляй их только руками.

[rawpenguin]

Золотая середина для хоумлаба: Watchtower с флагом --monitor-only и уведомлениями в Telegram. Он будет сообщать что вышел новый образ, но не трогать контейнер. Обновляешь когда хочешь и осознанно. Настраивается через WATCHTOWER_NOTIFICATION_URL с apprise-url типа tgram://токен/chatid. Так и удобство, и контроль.

[semyon2026]

Альтернативный путь, раз уж тема про контроль: держу все compose-файлы в гите и повесил на репу Renovate. Он сам открывает PR при выходе нового тега образа — в дифе видно, что именно меняется, release notes подтягиваются прямо в описание. Прочитал, смержил, задеплоилось. По сути тот же monitor-only, только с историей изменений и откатом через git revert. Watchtower после этого вообще снёс за ненадобностью.

[asynclover]

@hogan20, про недисциплинированный semver подпишусь кровью: Immich до своей 2.0 ломал совместимость чуть ли не через релиз, и формально всё было «по правилам» — нулевая мажорка позволяет. Так что пин ветки типа 1.2 спасает только у зрелых проектов вроде postgres или nginx. Для остального зоопарка — только полный тег и глаза в changelog перед обновлением.