Héberger Glance sur un VPS : votre tableau de bord de démarrage

Pourquoi Glance convient parfaitement à un VPS

Ce que vous obtenez par défaut

• Widgets intégrés : flux RSS, Hacker News, Reddit, météo, bookmarks, horloge monde
• Métriques serveur en direct : CPU, RAM, disque, charge système
• État des conteneurs Docker (running / stopped / paused)
• Thèmes clair/sombre et couleurs personnalisables via YAML
• Aucune dépendance externe : un seul binaire statique Go (~15 Mo)
• Rechargement à chaud de la configuration sans redémarrage

Glance vs alternatives : Heimdall, Homepage, Homarr

Comparaison des tableaux de bord self-hosted

Faites défiler le tableau

Glance s'impose quand la légèreté et la vitesse comptent plus qu'une interface de configuration graphique. Pour une équipe non-technique qui préfère cliquer plutôt qu'éditer du YAML, Homarr ou Heimdall sont des alternatives valables.

Prérequis

Ce qu'il vous faut avant de commencer

• Un VPS ServOrbit sous Ubuntu 22.04 / Debian 12 (≥ 1 vCPU, 512 Mo RAM suffisent)
• docker et docker compose installés (Docker Engine 24+, Compose v2)
• Accès SSH root ou sudo
• Un sous-domaine pointé sur votre VPS (ex. glance.mondomaine.tld) — optionnel mais recommandé pour HTTPS

Déployer Glance sur votre VPS ServOrbit

Installation pas à pas

1. 01

   Créer le répertoire de travail

   Connectez-vous en SSH à votre VPS et créez le dossier qui accueillera la configuration Glance :

   mkdir -p /opt/glance && cd /opt/glance

2. 02

   Écrire le fichier `docker-compose.yml`

   Créez le fichier suivant. Le montage en lecture seule du socket Docker est impératif (voir section Sécurité plus bas) :

   services:
     glance:
       image: glanceapp/glance:latest
       restart: unless-stopped
       ports:
         - "8080:8080"
       volumes:
         - ./glance.yml:/app/glance.yml:ro
         - /var/run/docker.sock:/var/run/docker.sock:ro
         - /proc:/proc:ro
       environment:
         - TZ=Africa/Casablanca

   Remplacez Africa/Casablanca par votre fuseau horaire (TZ s'applique aux horloges et aux timestamps RSS).

3. 03

   Créer la configuration de base `glance.yml`

   Ce fichier YAML définit vos pages, colonnes et widgets :

   server:
     port: 8080
   
   pages:
     - name: Accueil
       columns:
         - size: small
           widgets:
             - type: clock
               hour-format: 24h
             - type: resource-usage
         - size: full
           widgets:
             - type: hacker-news
             - type: rss
               feeds:
                 - url: https://blog.servOrbit.com/rss
                   title: ServOrbit Blog
         - size: small
           widgets:
             - type: docker-containers

4. 04

   Démarrer le conteneur

   docker compose up -d

   Vérifiez que le conteneur tourne : docker compose ps — le statut doit afficher Up.

5. 05

   Ouvrir le pare-feu (si UFW activé)

   ufw allow 8080/tcp

   Ouvrez http://<IP-VPS>:8080 dans votre navigateur pour confirmer que Glance répond.

6. 06

   Configurer un reverse proxy nginx avec HTTPS

   Pour servir Glance sur https://glance.mondomaine.tld, créez un vhost nginx :

   server {
       listen 443 ssl http2;
       server_name glance.mondomaine.tld;
       ssl_certificate     /etc/letsencrypt/live/glance.mondomaine.tld/fullchain.pem;
       ssl_certificate_key /etc/letsencrypt/live/glance.mondomaine.tld/privkey.pem;
   
       location / {
           proxy_pass http://127.0.0.1:8080;
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
       }
   }

   Obtenez le certificat via Certbot : certbot --nginx -d glance.mondomaine.tld.

7. 07

   Activer l'authentification HTTP basique (recommandé)

   Glance n'a pas d'auth intégrée. Protégez l'accès via nginx :

   htpasswd -c /etc/nginx/.htpasswd admin

   Ajoutez dans le bloc location / du vhost :

   auth_basic "Glance";
   auth_basic_user_file /etc/nginx/.htpasswd;

   Rechargez nginx : systemctl reload nginx.

8. 08

   Vérifier les métriques système

   Le widget resource-usage lit /proc — le montage :ro dans docker-compose.yml est donc obligatoire. Si les métriques n'apparaissent pas, vérifiez : docker compose logs glance | grep -i proc.

9. 09

   Recharger la config sans redémarrage

   Toute modification de glance.yml est prise en compte en envoyant le signal SIGHUP au conteneur :

   docker kill --signal=SIGHUP glance_glance_1

   Alternativement : docker compose restart glance (entraîne ~1 s d'indisponibilité).

10. 10

    Activer les mises à jour automatiques (optionnel)

    Déployez [Watchtower](https://containrrr.dev/watchtower/) pour maintenir l'image Glance à jour automatiquement, ou gérez-le manuellement :

    docker compose pull && docker compose up -d

Configuration YAML avancée : widgets, thèmes et mise en page

Options de configuration avancée

• Thème personnalisé — ajoutez sous server: : theme: { background-color: "240 21 15", primary-color: "217 92 83" } (format HSL sans hsl())
• Pages multiples — ajoutez autant de blocs - name: sous pages: qu'il y a de contextes (ex. "Dev", "Clients", "Perso")
• Widget bookmarks — type: bookmarks avec des groupes de liens pour centraliser vos accès rapides aux outils internes
• Widget monitor — type: monitor avec une liste d'URL : Glance effectue des checks HTTP et affiche latence + statut en temps réel
• Widget GitHub releases — type: releases avec une liste de repos : idéal pour suivre les nouvelles versions de vos outils
• Intervalle de rafraîchissement — chaque widget accepte cache: 1h (ou 30m, 5m) pour contrôler la fréquence de polling

Sécurité : le docker.sock en lecture seule

Risques et mitigations

• Risque : un conteneur compromis avec accès :rw au socket peut lancer des conteneurs root, monter /, exfiltrer des secrets
• Mitigation 1 — Montage en lecture seule : le :ro dans docker-compose.yml bloque toute écriture ; Glance n'a besoin que de lire l'état des conteneurs
• Mitigation 2 — Proxy socket : déployez [Docker Socket Proxy](https://github.com/Tecnativa/docker-socket-proxy) pour n'exposer que les endpoints GET /containers et GET /version
• Mitigation 3 — Network isolation : placez Glance dans un réseau Docker dédié, isolé de vos services applicatifs
• Vérification : docker inspect glance_glance_1 | grep -A5 Mounts — la ligne Mode doit afficher ro, jamais rw

Dépannage : erreurs courantes

Problèmes fréquents et solutions

• Port 8080 déjà utilisé — ss -tlnp | grep 8080 pour identifier le process occupant le port. Changez le port hôte dans docker-compose.yml : "8181:8080" (le port conteneur reste 8080 côté Glance).
• Widget non chargé / spinner permanent — vérifiez la connectivité réseau sortante du conteneur : docker exec glance_glance_1 curl -s https://news.ycombinator.com. Si timeout, votre VPS est derrière un pare-feu sortant restrictif — ouvrez les ports 80/443 en sortie via ufw.
• Docker socket refusé (permission denied) — le conteneur tourne sous un UID non-root sans accès au groupe docker. Solution : ajoutez group_add: ["docker"] ou montez le socket avec les permissions correctes. Vérifiez : ls -la /var/run/docker.sock (groupe docker, mode 660).
• Métriques /proc absentes — le montage /proc:/proc:ro est manquant dans docker-compose.yml. Sans lui, resource-usage affiche des valeurs nulles ou un message d'erreur. Ajoutez le volume et relancez : docker compose up -d.

Cas d'usage réels pour une agence web

Comment structurer Glance pour une agence

• Une page par client : chaque page pages[n] correspond à un projet — widget monitor avec les URLs critiques (front, API, backoffice), widget docker-containers si les services tournent localement
• Page "Infra globale" : un widget resource-usage par VPS n'est pas supporté nativement, mais le widget monitor peut checker des endpoints d'healthcheck exposés sur chaque machine (ex. /healthz)
• Flux RSS d'alerte : ajoutez le flux RSS de votre outil de monitoring (UptimeKuma, Gatus) pour remonter les incidents sans quitter Glance
• Widget GitHub releases : suivez les releases des CMS/frameworks de vos clients pour anticiper les mises à jour critiques
• Accès multi-équipe : un Glance par environnement (staging / prod), chacun protégé par une auth HTTP distincte via nginx, partageable par lien avec l'équipe concernée