NGINX Ingress Controller 5.6: HSTS nativo e avvio da 107 a 6 secondi

NGINX ha pubblicato il 2 settembre 2026 la versione 5.6 di NGINX Ingress Controller, con un cambio di rotta che interessa chi gestisce cluster Kubernetes di produzione: meno configurazione affidata agli snippet, più funzioni gestite direttamente dalle risorse native.

Il cambiamento più visibile riguarda HTTP Strict Transport Security. Finora per imporre HSTS serviva uno snippet, che gli strumenti Kubernetes non possono validare: un errore nello snippet arrivava in produzione senza che nessuno se ne accorgesse. Dalla 5.6 HSTS è configurabile come policy nativa su VirtualServer, VirtualServerRoute e Ingress, con lo stesso comportamento su tutti e tre i tipi di risorsa.

Sul fronte operativo, la novità con più impatto pratico è la velocità di avvio quando è attiva l'opzione -enable-config-safety. Prima, ogni file di configurazione veniva validato singolarmente prima di essere scritto, con un costo che cresceva col quadrato del numero di risorse. Ora tutti i file vengono scritti insieme e viene eseguito un solo nginx -t sull'intero albero; se il controllo fallisce, il controller individua le risorse responsabili, le esclude e riparte con le altre, loggando cosa non è stato caricato. Nel test interno su un cluster con 250 Ingress e 250 VirtualServer, l'avvio è passato da 107 a 6 secondi.

Due nuove annotazioni aiutano chi arriva da Ingress-NGINX: nginx.org/upstream-vhost fissa l'header Host inviato a monte invece dell'host interno del controller, e nginx.org/custom-http-errors instrada i codici di errore configurati verso un backend dedicato. Una voce ConfigMap, disable-forwarded-headers, permette di disattivare gli header X-Forwarded-For, -Host, -Port e -Proto quando sono già impostati da un load balancer o una CDN a monte.

Altre correzioni operative: i servizi upstream in namespace diversi ora ricevono gli aggiornamenti degli endpoint senza restare stale; il chart Helm può dichiarare una NetworkPolicy tramite controller.networkPolicy; la rotazione dei secret ricarica NGINX per ogni tipo di secret (CA, JWK, htpasswd, OIDC, API key), non solo per i certificati TLS come accadeva prima. Corretti anche un regex di validazione dei path che bloccava percorsi legittimi come /variables, un warning spurio sui secret TLS wildcard senza secretName, e il reindirizzamento di ExternalAuth. Il supporto all'integrazione NGINX Service Mesh è stato rimosso: chi lo usa deve togliere flag e annotazioni relative prima di aggiornare.

Il changelog completo è sul repository GitHub del progetto; la documentazione di NGINX Ingress Controller copre la procedura di upgrade alla 5.6.