كيفية تحديث حاويات Docker تلقائيًا باستخدام Watchtower في 2026 (ولماذا قد لا ترغب في ذلك)

لا يزال Watchtower يعمل للتحديث التلقائي لحاويات Docker في 2026، لكن المشروع الأصلي containrrr/watchtower تمت أرشفته في 17 ديسمبر 2025 ولم يعد يتلقى تصحيحات أمنية. يمكنك تشغيله اليوم، ويوضح لك هذا الدليل الطريقة الآمنة للقيام بذلك، لكن بالنسبة لأي شيء تهتم به فعلًا فينبغي أن تستخدم نسخة متفرعة قيد الصيانة، أو تنتقل إلى أداة تكتفي بالإشعار مثل Diun، أو تنتقل إلى منصة تتولى التحديثات نيابةً عنك. فيما يلي الإعداد الصادق، والمخاطر التي تتجاهلها الشروحات، والبدائل التي تستحق وقتك.

ماذا يفعل Watchtower (ولماذا يستخدمه الناس)

Watchtower هو حاوية صغيرة تراقب حاوياتك الأخرى قيد التشغيل، وتتحقق من سجلات الصور الخاصة بها وفق جدول زمني، وعندما يظهر وسم صورة أحدث، يسحبه ويوقف الحاوية القديمة ويعيد تشغيلها بنفس الأعلام والوحدات التخزينية وإعدادات الشبكة تمامًا. يتواصل مع خدمة Docker daemon عبر المقبس (socket) المُثبَّت، ولهذا يقوم كل إعداد بتثبيت /var/run/docker.sock. الميزة هي صيانة دون أي جهد: تصل صورة جديدة من المصدر الأصلي، فيتبعها تطبيقك قيد التشغيل تلقائيًا دون أي docker pull أو docker compose up -d يدوي. بالنسبة لمختبر منزلي أو مشروع جانبي منخفض المخاطر حيث لا تهم بضع ثوانٍ من توقف إعادة التشغيل، فإن تلك الراحة حقيقية، وهذا هو السبب في أن التوثيق الرسمي بنى قاعدة من المتابعين. تبدأ المشكلة عندما يوجّهه الناس إلى أشياء لا ينبغي أن تُحدَّث تلقائيًا.

هل لا يزال Watchtower قيد الصيانة في 2026؟

لا. مستودع containrrr/watchtower على GitHub تمت أرشفته من قبل مالكه في 17 ديسمبر 2025 وأصبح الآن للقراءة فقط، مع لافتة تقول "لم يعد هذا المشروع قيد الصيانة". آخر إصدار موسوم، v1.7.1، صدر في نوفمبر 2023، لذا لم تتلقَّ الصورة أي تحديثات، بما في ذلك الإصلاحات الأمنية، لأكثر من عامين. "مؤرشف" لا يعني معطّل: لا تزال الصورة تُسحب من Docker Hub ولا تزال تعمل، ولا يتوقف شيء عن العمل بين عشية وضحاها. ما يعنيه هو أنه لا أحد يدمج إصلاحات لإصدارات Docker API الجديدة، أو ثغرات CVE في التبعيات، أو تغييرات السجلات. بالنسبة لأداة تملك وصولًا مكافئًا لصلاحيات الجذر (root) إلى مقبس Docker الخاص بك، فإن تشغيل ملف ثنائي غير مصان إلى الأبد يمثل خطرًا حقيقيًا، لا افتراضيًا. إذا نشرته الآن، فتعامل معه كحل مؤقت، لا كتركيبة دائمة.

كيفية إعداد Watchtower بالطريقة الآمنة

الخطأ الذي ترتكبه معظم الشروحات هو القفز مباشرة إلى التحديث التلقائي الكامل عبر كل حاوية. ابدأ في وضع المراقبة فقط بدلًا من ذلك، حتى يُبلّغك Watchtower بما سيتغيّر دون أن يلمس أي شيء:

services:
  watchtower:
    image: containrrr/watchtower:1.7.1
    container_name: watchtower
    restart: unless-stopped
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    environment:
      WATCHTOWER_MONITOR_ONLY: "true"
      WATCHTOWER_SCHEDULE: "0 0 4 * * *"   # 4am daily (6-field cron)
      WATCHTOWER_NOTIFICATIONS: shoutrrr
      WATCHTOWER_NOTIFICATION_URL: "your-webhook-url"

بمجرد أن تثق بما يُبلّغ عنه، انتقل إلى التحديثات الفعلية لكن اقصرها على الحاويات التي تختار إدراجها صراحةً بوسم (label)، ودعه ينظّف الصور المستبدلة:

    environment:
      WATCHTOWER_LABEL_ENABLE: "true"
      WATCHTOWER_CLEANUP: "true"
      WATCHTOWER_SCHEDULE: "0 0 4 * * *"

مع ضبط WATCHTOWER_LABEL_ENABLE، يتجاهل Watchtower كل شيء ما لم توسم حاوية بـ com.centurylinklabs.watchtower.enable=true، وهو أكثر أمانًا بكثير من السماح له بتحديث قاعدة بياناتك على حين غرة. يشرح دليل DigitalOcean الأعلام نفسها بمزيد من التعمق. أبقِ الجدول في ساعة منخفضة الحركة، واربط خلفية إشعارات لتعرف بكل تحديث، ولا تشغّله أبدًا دون مرشّح الوسم على مضيف يشغّل أيضًا خدمات ذات حالة.

هل ينبغي عليك تحديث الحاويات تلقائيًا من الأساس؟

هذا هو السؤال الذي تتجاهله أدلة الإعداد، وهو أهم من أي علَم. التحديث التلقائي جيد للخدمات عديمة الحالة وسهلة الاستبدال: لوحة تحكم، أو موقع ثابت، أو واجهة وكيل (proxy) عديمة الحالة. وهو محفوف بالمخاطر لأي شيء ذي حالة أو ذي مسار ترقية هشّ، أي قواعد البيانات، والتطبيقات ذات ترحيلات المخطط (schema) الكاسرة، أو حزمة يجب أن تتحرك خدماتها بتزامن تام. يسحب Watchtower أيًّا كان ما يشير إليه الوسم، فإذا كنت تتتبع :latest، يمكن أن يهبط إصدار رئيسي بتغييرات كاسرة دون سابق إنذار في الساعة 4am، ولا يوجد تراجع تلقائي. قاعدتان تبقيانك بعيدًا عن المتاعب. أولًا، لا تحدّث الخدمات ذات الحالة تلقائيًا أبدًا؛ ثبّتها على وسم إصدار محدد أو بصمة صورة (image digest) وحدّثها يدويًا بعد قراءة ملاحظات الإصدار. ثانيًا، اجعل لديك نسخ احتياطية قابلة للاستعادة قبل أن تفعّل أيًّا من هذا، لأن التحديث التلقائي الليلي هو تمامًا اللحظة التي ستتمنى فيها لو أنك فعلت. إذا كنت تستضيف ذاتيًا على خادم VPS، فدليلنا حول النسخ الاحتياطي لوحدات Docker التخزينية يغطي الإعداد المُختبَر للاستعادة الذي ينبغي وضعه أولًا.

بدائل Watchtower في 2026

منذ الأرشفة، انتقل معظم مجتمع الاستضافة الذاتية إلى غيره، وتنقسم الخيارات المصانة إلى معسكرين: أدوات تكتفي بالإشعار تخبرك بوجود تحديث وتدعك تطبّقه عن قصد، وأدوات تحديث تلقائي بتحكّم أكبر مما امتلكه Watchtower يومًا.

الأداة	النوع	تحديثات تلقائية	واجهة ويب	قيد الصيانة	الأنسب لـ
Watchtower (containrrr)	أداة تحديث تلقائي	نعم	لا	لا — مؤرشف في ديسمبر 2025	التثبيتات القديمة فقط
nicholas-fedor/watchtower	أداة تحديث تلقائي (نسخة متفرعة)	نعم	لا	نعم	استبدال جاهز، بنفس الإعداد
WUD (What's Up Docker)	مدقّق + مُحدِّث	اختياري	نعم	نعم	لوحة تحكم + تحكّم semver
Diun	مُشعِر فقط	لا	لا	نعم	"أخبرني، وأنا أقرر"
Coolify / PaaS	منصة	مُدار	نعم	نعم	نشر وتحديث الحزمة بالكامل

أقل المسارات احتكاكًا، إذا كنت تشغّل Watchtower بالفعل، هو النسخة المجتمعية المتفرعة nicholas-fedor/watchtower، التي تحافظ على نفس الصورة والإعداد لكنها قيد الصيانة النشطة. لمزيد من التحكم، يضيف What's Up Docker (WUD) لوحة تحكم ويب حقيقية، وتتبعًا لإصدارات السجلات مع عتبات الإصدار الدلالي (semantic-version)، وأكثر من 20 خلفية إشعارات؛ ويمكنه إما مجرد الإشعار أو التحديث تلقائيًا عبر المحفّزات (triggers). إذا أردت النمط الأكثر أمانًا، فإن Diun يكتفي بالإشعار بحكم تصميمه: يفحص صورك وفق جدول زمني ويرسل لك تنبيهًا عبر أي من أكثر من 17 خلفية (البريد الإلكتروني، Discord، Telegram، ntfy) عند تغيّر وسم، تاركًا قرار التحديث الفعلي لك. وإذا كانت إدارة التحديثات نفسها هي العبء الذي تريد التخلص منه، فإن منصة مثل Coolify تتولى عمليات البناء والنشر والتحديث من واجهة مستخدم؛ راجع نشر التطبيقات باستخدام Coolify لهذا المسار.

الأسئلة الشائعة

هل لا يزال بإمكاني استخدام Watchtower في 2026؟ نعم. لا تزال صورة containrrr/watchtower تُسحب وتعمل، لذا تظل التثبيتات الحالية تعمل. لكن المشروع تمت أرشفته وأصبح دون تصحيحات منذ ديسمبر 2025، لذا للاستخدام المستمر ينبغي أن تنتقل إلى النسخة المتفرعة المصانة nicholas-fedor أو أداة مثل WUD أو Diun بدلًا من الاعتماد عليه إلى ما لا نهاية.

ما هو البديل لـ Docker Watchtower؟ أقرب بديل جاهز هو النسخة المجتمعية المتفرعة nicholas-fedor/watchtower، التي تحافظ على الإعداد الأصلي. لمزيد من القدرات، يضيف WUD (What's Up Docker) لوحة تحكم ويب وتحديثات تلقائية اختيارية، بينما يعد Diun الخيار الشائع إذا كنت تريد الإشعارات فقط وتفضّل تطبيق التحديثات بنفسك.

هل من الآمن تحديث حاويات Docker تلقائيًا؟ بالنسبة للخدمات عديمة الحالة، فالأمر معقول، شريطة أن تحتفظ بنسخ احتياطية قابلة للاستعادة. أما بالنسبة لقواعد البيانات والتطبيقات ذات التغييرات الكاسرة فليس كذلك: ثبّتها على إصدار ثابت وحدّثها يدويًا. التحديث التلقائي لوسم :latest على الخدمات ذات الحالة هو الطريقة الأكثر شيوعًا التي يعطّل بها الناس حزمتهم بأنفسهم.

هل يسبب Watchtower توقفًا عن العمل؟ نعم، لفترة وجيزة. فهو يوقف كل حاوية ويعيد إنشاءها لتطبيق صورة جديدة، لذا توجد فجوة إعادة تشغيل قصيرة لكل خدمة. لا يقوم Watchtower بعمليات نشر متدرّجة أو بلا توقف؛ إذا كنت بحاجة إلى ذلك، فاستخدم منصة أو منسّقًا (orchestrator) يدعم التحديثات المتدرّجة.

Sources

• containrrr/watchtower — GitHub: مؤرشف في 17 ديسمبر 2025، لافتة "لم يعد قيد الصيانة"؛ آخر إصدار v1.7.1 (نوفمبر 2023).
• توثيق Watchtower — containrrr.dev: السلوك الرسمي والأعلام وخيارات الإشعارات.
• كيفية تحديث صور حاويات Docker تلقائيًا باستخدام Watchtower — DigitalOcean: مرجع compose والأعلام لـ label-enable وcleanup وmonitor-only.
• توقف Watchtower! مشاريع بديلة — Linux Handbook: النسخ المتفرعة المصانة والبدائل، بما في ذلك nicholas-fedor/watchtower.
• What's Up Docker (WUD) — getwud.github.io: لوحة تحكم ويب، وتتبّع الإصدارات، والمحفّزات، والإشعارات.
• Diun — crazymax.dev: مُشعِر بتحديثات الصور يكتفي بالإشعار مع أكثر من 17 خلفية إشعارات.