Portainer vs Dokploy : lequel déployer en 2026 ?

Un VPS nu livré avec Docker vous expose à une seule interface : la ligne de commande. C'est suffisant pour une machine, laborieux pour cinq, et ingérable pour une équipe. Une interface web centralise les logs, les mises à jour d'images, les variables d'environnement et les certificats TLS — sans vous forcer à maintenir un pipeline CI/CD complet dès le premier jour.

Deux familles s'affrontent : les gestionnaires (Portainer, Yacht) qui exposent Docker comme il est, et les PaaS légers (Dokploy, Coolify, CapRover) qui ajoutent une couche de déploiement — branches Git, domaines automatiques, certificats Let's Encrypt. La frontière n'est pas cosmétique : elle détermine si vos développeurs peuvent déployer seuls ou s'ils ont besoin d'un accès SSH.

Portainer CE (Community Edition) a été la référence du genre pendant six ans. En 2026, Portainer a restructuré son modèle de licence : l'édition Community est désormais limitée à Kubernetes ou devient payante (Portainer Business). Les instances Portainer 2.x déjà déployées continuent de fonctionner, mais elles n'évoluent plus sous CE.

Cette bascule a plusieurs conséquences pratiques. D'abord, les nouvelles installations qui cherchent une interface Docker gratuite se trouvent sans roadmap claire côté CE. Ensuite, les images portainer/portainer-ce:latest continuent d'exister et de se mettre à jour, mais le canal communautaire a perdu de sa visibilité. Enfin — et c'est le point critique — Portainer 2.x a accumulé deux CVEs de score 9.4 qui restent actives sur toute installation non patchée.

Si vous tournez encore sur Portainer 2.x, la question n'est pas « migrer ou rester » par principe : elle est « est-ce que mon instance est à jour, et est-ce que le risque est acceptable ? »

Deux CVEs affectent les versions Portainer 2.33.0 à 2.40.x :

CVE-2026-44848 (CVSS 9.4) — Les endpoints /plugins/* ne sont pas protégés par authentification. Un attaquant non authentifié peut interroger et modifier les plugins Docker de votre hôte via l'API Portainer.

CVE-2026-44849 (CVSS 9.4) — Le mécanisme de restrictions Swarm peut être contourné : un utilisateur Portainer avec des droits réduits peut exécuter des actions normalement réservées à l'administrateur sur un cluster Swarm.

Versions corrigées : 2.33.8, 2.39.2, 2.41.0.

Pour vérifier votre version :

docker exec portainer /app/portainer --version

Pour mettre à jour :

docker pull portainer/portainer-ce:latest
docker stop portainer
docker rm portainer
docker run -d \
  --name=portainer \
  --restart=always \
  -p 8000:8000 -p 9443:9443 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v portainer_data:/data \
  portainer/portainer-ce:latest

Si vous êtes en dessous de 2.33.8 ou de 2.39.2 selon votre branche, mettez à jour avant de continuer à utiliser l'instance. Portainer exposé sur Internet sans patch est un vecteur d'intrusion directe sur votre hôte Docker.

Dokploy n'est pas exempt de vulnérabilités. CVE-2026-45631 (CVSS 10.0) affecte les versions antérieures à 0.29.13 : un secret d'authentification était hardcodé dans le code source, permettant à n'importe qui connaissant ce secret de s'authentifier sur n'importe quelle instance Dokploy.

Cette CVE est corrigée depuis la version 0.29.13. Pour vérifier et mettre à jour :

# Vérifier la version installée
docker exec dokploy dokploy --version

# Mettre à jour via le script officiel
curl -sSL https://dokploy.com/install.sh | sh

Dokploy utilise BETTER_AUTH_SECRET comme clé de session. Sur une installation antérieure à 0.29.13, cette valeur était statique dans le code. Après mise à jour, vérifiez que votre docker-compose.yml Dokploy déclare bien une valeur aléatoire forte :

grep BETTER_AUTH_SECRET /etc/dokploy/docker-compose.yml

Si la variable est vide ou absente, générez une nouvelle valeur et redémarrez :

export BETTER_AUTH_SECRET=$(openssl rand -hex 32)

Les deux outils tournent sur Docker. Dokploy demande légèrement plus de ressources car il embarque une base de données PostgreSQL et un proxy Traefik en plus du service principal.

Rester sur Portainer 2.x a du sens dans trois situations : vous gérez déjà un cluster Docker Swarm ou Kubernetes avec des configurations complexes ; vous avez des équipes qui maîtrisent l'interface et des runbooks documentés dessus ; ou vous avez besoin du niveau de détail sur les réseaux et volumes que Portainer expose nativement.

Dans ces cas, la condition non négociable est d'être sur une version patchée (2.33.8, 2.39.2 ou 2.41.0) et de restreindre l'accès à l'interface : ne jamais exposer le port 9000/9443 directement sur Internet, placer Portainer derrière un reverse proxy avec authentification supplémentaire si des utilisateurs non-admins y accèdent.

Migrer vers Dokploy est la bonne décision si : vous partez de zéro sur un nouveau VPS ; vous voulez que vos développeurs déploient depuis Git sans SSH ; vous gérez plusieurs domaines et ne voulez pas maintenir Nginx/Traefik à la main ; ou vous cherchez une alternative après la fin de CE 3.0 pour votre usage Docker.

Portainer — interface inaccessible après mise à jour
Vérifiez que le volume portainer_data est bien monté. Une mise à jour sans volume nommé repart sur une base vide et redemande la création du compte admin.

Portainer — TLS handshake error sur le port 9443
Portainer génère un certificat auto-signé. Votre navigateur l'avertit à juste titre. Placez Portainer derrière un reverse proxy (nginx, Caddy) avec un vrai certificat pour un accès sécurisé en production.

Dokploy — Traefik ne génère pas de certificat
Cause la plus fréquente : le DNS n'est pas encore propagé vers le VPS. Vérifiez avec dig +short votre-domaine.com. Traefik attend une réponse DNS valide avant de lancer le challenge ACME. Si le DNS est bon, vérifiez que le port 80 est ouvert (ufw allow 80).

Dokploy — déploiement Git qui échoue silencieusement
Vérifiez les logs du service dans l'interface (Deployments → onglet Logs). L'erreur la plus commune est un BETTER_AUTH_SECRET manquant ou une clé SSH non configurée pour les dépôts privés. Dokploy propose un bouton Generate SSH Key dans les paramètres du projet pour les dépôts privés GitLab/GitHub.