NGINX Ingress Controller 5.7: HTTP/2 verso i backend e Secret Opaque

NGINX Ingress Controller arriva alla versione 5.7.0, pubblicata il 14 ottobre 2026 sul repository GitHub del progetto. Per chi gestisce cluster Kubernetes e usa questo controller per esporre servizi all'esterno, la novità più operativa è il supporto HTTP/2 nel tratto verso gli upstream.

HTTP/2 fino al backend

Finora il controller parlava sempre HTTP/1.1 con i Service dietro di sé, anche se questi erano in grado di gestire HTTP/2 in chiaro (h2c). Con la 5.7 si imposta proxy-http-version: 2 su VirtualServer, VirtualServerRoute o con l'annotazione nginx.org/proxy-http-version su Ingress. Se il campo resta vuoto, il controller lo rileva da solo quando il Service dichiara appProtocol: kubernetes.io/h2c, senza bisogno di toccare le risorse Ingress esistenti.

Secret Opaque senza più doppie copie

Prima andavano usati Secret tipizzati (kubernetes.io/tls, nginx.org/ca, ecc.), il che obbligava a duplicare in un secondo Secret quanto creato da kubectl create secret generic o da tool esterni di gestione dei segreti. Da questa versione bastano le chiavi giuste (tls.crt/tls.key, ca.crt, htpasswd) dentro un Secret di tipo Opaque, che ora viene validato sul contenuto e non più sul tipo dichiarato.

cert-manager e redirect HTTPS

Chi usa cert-manager con la sfida HTTP-01 su un host che reindirizza tutto a HTTPS doveva finora disattivare temporaneamente il redirect o scrivere uno snippet. Con la 5.7 il percorso /.well-known/acme-challenge/ viene riconosciuto ed escluso dal redirect e dall'autenticazione, sia su VirtualServer (serve il flag -enable-cert-manager) sia su Ingress.

Altre novità della release

Tra le altre modifiche segnalate nelle note di rilascio: le VirtualServerRoute possono ora essere condivise da più VirtualServer senza host fisso, il bilanciamento least_time passa anche a NGINX Open Source (prima riservato a NGINX Plus), il routing topology-aware può tenere il traffico nella stessa zona o nodo del pod, e il chart Helm supporta più Service davanti allo stesso controller.

Vale la pena ricordare che questo progetto (repository nginx/kubernetes-ingress) non è lo stesso del community ingress-nginx della Kubernetes Community, il cui ciclo di manutenzione si chiude a marzo 2026: sono due progetti diversi spesso confusi, di cui quello community va in EOL a marzo 2026. Il controller NGINX/F5, secondo i dati pubblicati dall'azienda, ha una quota di mercato intorno al 40% e oltre 10 milioni di download.

Il progetto resta distribuito con licenza Apache 2.0 nella versione open source; l'integrazione con NGINX Plus aggiunge funzioni enterprise a pagamento ma non è richiesta per usare le novità di questa release.