Portainer : gérer ses conteneurs Docker

Ce guide vaut pour Ubuntu 26.04 et Debian 13 avec Docker Engine. Les commandes suivent la documentation officielle, relue le 14 octobre 2026 : Install Portainer CE with Docker on Linux.

Ce que Portainer peut faire, et ce qu'il risque

Portainer parle à Docker par son socket, /var/run/docker.sock. Qui contrôle ce socket contrôle le serveur : il peut lancer un conteneur qui monte tout le disque. Un compte Portainer compromis vaut donc un accès administrateur à la machine. D'où les deux règles de ce guide : un mot de passe fort dès la première connexion, et une interface qui ne répond pas à n'importe qui sur Internet.

Installer Portainer CE

1. Créer le volume qui gardera ses réglages : docker volume create portainer_data.
2. Lancer le conteneur en ne publiant l'interface que sur l'adresse locale du serveur :

docker run -d -p 127.0.0.1:9443:9443 --name portainer --restart=always \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v portainer_data:/data portainer/portainer-ce:lts

3. Vérifier qu'il tourne : docker ps doit afficher le conteneur portainer.

La documentation publie aussi le port 8000, qui ne sert qu'aux agents Edge pour gérer des serveurs distants. Pour un seul serveur, il est inutile : ne le publiez pas.

Le préfixe 127.0.0.1: est l'écart volontaire avec la commande officielle : sans lui, Docker publie le port sur toutes les adresses du serveur, et l'interface devient joignable de partout si le pare-feu le laisse passer.

S'y connecter par un tunnel SSH

Depuis votre ordinateur, ouvrez un tunnel qui fait passer le port 9443 du serveur par votre connexion SSH :

1. Lancez ssh -L 9443:127.0.0.1:9443 utilisateur@adresse-du-serveur et laissez la fenêtre ouverte.
2. Ouvrez https://localhost:9443 dans votre navigateur. Portainer présente un certificat qu'il a signé lui-même : le navigateur l'annonce, c'est attendu sur cette adresse locale.
3. Créez le compte administrateur avec un mot de passe long. Une instance neuve demande un jeton d'installation pour cette première étape ; la documentation explique où le trouver.

Le tunnel est la solution la plus sûre pour un usage ponctuel : rien n'est exposé, et l'accès repose sur votre clé SSH.

Ou le publier derrière un proxy HTTPS

Si vous voulez y accéder sans tunnel, placez-le derrière un proxy qui gère le certificat, comme Caddy ou Nginx Proxy Manager, sur un sous-domaine dédié. Le proxy et Portainer partagent alors un réseau Docker, et Portainer ne publie plus aucun port. Protégez cette adresse par une liste d'adresses IP autorisées si votre proxy le permet : l'interface n'a rien à faire sur un moteur de recherche.

Ce qu'on y fait au quotidien

• Lire les journaux d'un conteneur sans se souvenir de la commande, et les filtrer par date.
• Redémarrer un service qui ne répond plus.
• Déployer une pile (Stacks) en collant un fichier compose.yaml : Portainer la lance et garde la définition.
• Voir l'espace occupé par les images et les volumes, et supprimer ce qui ne sert plus.

Pour tout ce qui se versionne (fichiers Compose, configuration), gardez la source dans un dépôt ou un dossier sur le serveur : une pile modifiée seulement dans Portainer est difficile à reconstruire ailleurs.

Mettre à jour Portainer

1. docker pull portainer/portainer-ce:lts
2. docker stop portainer && docker rm portainer
3. Relancer la commande d'installation : les réglages sont dans le volume portainer_data, ils reviennent tels quels.

Sur un VPS Hubspace

Docker est installé à la livraison et le compte admin peut lancer docker sans sudo. Le pare-feu réseau n'ouvre que 22, 80 et 443 : même publié sur toutes les adresses, le port 9443 ne serait pas joignable depuis Internet, et c'est voulu. Le tunnel SSH fonctionne tel quel, avec admin comme utilisateur. Si vous tenez à ouvrir un port, cela se fait dans votre espace client, onglet « Firewalls » du VPS, mais le proxy HTTPS reste préférable. Les serveurs VPS détaillent ce qui est livré.

Questions fréquentes