Dockhand, Arcane и Komodo - сравнение веб-интерфейсов для Docker в 2026 году

Portainer долгое время был чуть ли не единственным серьезным вариантом, когда нужен веб-интерфейс для Docker. Сейчас выбор совсем другой. За последний год появилось сразу несколько серьезных проектов, и три из них я уже разбирал на сайте - Dockhand, Arcane и Komodo.

Отдельные обзоры - это конечно хорошо, но рано или поздно возникает вопрос: а что из этого ставить именно мне? Поэтому сегодня постараюсь свести все в одну статью и сравнить между собой - по возможностям, лицензиям и по тому, как они ведут себя в реальной эксплуатации.

Dockge в сравнение я не брал, он заточен под голый docker compose, и, на мой взгляд, пациент скорее заброшен, чем жив. То есть в репозитории каждый день выходят «ночные сборки», но нового мажорного релиза уже как год нет. Про Portainer забывать тоже не стоит.

Три разных подхода к одной задаче

#

Прежде чем смотреть на таблицы, важно понять, все эти инструменты решают немного разные задачи. Хотя в случае с Arcane и Dockhand граница слишком размыта, даже очень, очень размыта.

• Dockhand - аккуратный интерфейс для контейнеров и стеков с упором на безопасность обновлений: сканирование образов, проверка перед автообновлением, внешние хранилища секретов.
• Arcane - «современный Portainer», в котором бесплатно почти все: RBAC, OIDC, сканирование Trivy, GitOps, удаленные агенты. Философия - удобный UI поверх Docker Engine.
• Komodo - уже не панель, а платформа для сборки и деплоя на парк серверов: сборки образов, процедуры, скрипты на TypeScript, декларативная синхронизация конфигурации через TOML.

Архитектура у них тоже разная:

flowchart LR
  subgraph DH["Dockhand"]
    D1["Dockhand
SQLite или Postgres"] -->|"docker.sock или TCP+TLS"| D2["Docker хост"]
    D3["Hawser агент"] -->|"исходящее соединение"| D1
  end
  subgraph AR["Arcane"]
    A1["Arcane Manager
SQLite или Postgres"] -->|"docker.sock"| A2["Docker хост"]
    A3["Arcane Agent"] -.->|"direct или edge"| A1
  end
  subgraph KM["Komodo"]
    K1["Core
UI и API"] --> K2[("MongoDB или FerretDB")]
    K1 <-->|"Core и Periphery"| K3["Periphery на каждом хосте"]
    K3 --> K4["Docker хост"]
  end

Разница видна сразу. Dockhand и Arcane менеджер - это одно приложение (плюс необязательный агент для удаленных хостов), а у Komodo - связка из Core, Periphery и базы данных. Отсюда и разный порог входа, и разные возможности.

Сравнительная таблица

#

Dockhand

#

Dockhand - самый молодой из троих: первый публичный релиз v1.0.0 вышел в декабре 2025 года, а на момент написания актуальна v1.0.48. Разрабатывает его компания Finsys.

Что в нем хорошо:

• Безопасность обновлений. Dockhand проверяет наличие новых версий образов, показывает бейджи с release notes, а при автообновлении новый образ сначала подтягивается под временным тегом и сканируется. Если найденные уязвимости выходят за заданный порог, временный образ удаляется, а рабочий контейнер продолжает спокойно работать.
• Бесплатные SSO и 2FA. OIDC с любым провайдером и TOTP доступны в бесплатной версии.
• Внешние хранилища секретов: 1Password, HashiCorp Vault, Infisical, Doppler, Bitwarden, Proton Pass, Azure Key Vault, KeePassXC. Секреты подставляются при деплое и не попадают ни в compose-файл, ни на диск.
• Hawser - маленький агент на Go с открытым кодом. Он сам подключается к Dockhand, поэтому хосты за NAT и файрволом управляются без проброса портов.
• Бэкапы на restic (пока в статусе beta): тома, bind mount’ы и файлы стеков уходят в S3, Backblaze, Azure или Google Cloud.
• Приятные мелочи: веб-терминал, файловый браузер внутри контейнера, метрики Prometheus, REST API с токенами, генерация compose-файла из работающего контейнера.

Что не очень хорошо:

• RBAC, LDAP/AD, права на уровне окружений и аудит - только в платной Enterprise. Журнал активности контейнеров бесплатен, а вот аудит для compliance - нет.
• Лицензия. Об этом отдельный раздел ниже, и там есть нюанс, который стоит прочитать до установки в рабочую среду, в особенности, если ты только за FOSS.
• Только Docker. Ни Swarm, ни Kubernetes. С Podman есть частичная совместимость: в свежих релизах регулярно правят связанные с ним баги, но основной сценарий - все-таки Docker.
• Нет сборки образов и скриптов автоматизации. В дорожной карте проекта они числятся как «в будущем».
• Возраст. Меньше года на рынке, а в списке изменений почти каждой версии есть исправления регрессий. Для домашней лаборатории это терпимо, но версию образа лучше закреплять, а не ставить latest.

Из моего обзора: при первом запуске Dockhand не предлагал создать пользователя, и меня это неприятно удивило. Зато проверка обновлений образов в интерфейсе спокойно заменила мне Diun. Автообновление контейнеров я по-прежнему считаю функцией на любителя: без чтения changelog это лотерея.

Встроенный сканер уязвимостей я в обзоре ругал: он всегда что-нибудь найдет, а неофит может запаниковать. С тех пор функцию заметно допилили - появились единый дашборд CVE, экспорт результатов в SARIF и защита safe-pull при автообновлении, так что на эту функцию имеет смысл посмотреть заново.

Arcane

#

Arcane написан на Go и SvelteKit, распространяется под BSD-3-Clause и развивается быстрее всех: с 13 августа по 19 сентября вышло десять релизов, от v2.8.0 до v2.13.0 (при повторной проверке 30 сентября актуальной уже была v2.14.0).

Что в нем хорошо:

• Все бесплатно и без лимитов на количество нод. Платных редакций у проекта нет.
• Полноценный RBAC. Шесть встроенных ролей (Admin, Editor, No-Shell Editor, Deployer, Monitor, Viewer), которые можно клонировать в свои. Роли назначаются глобально или на конкретное окружение, а еще подтягиваются из групп вашего OIDC-провайдера. Появился он в v2.0.0 в июне 2026 года.
• Сканирование Trivy по расписанию и патчинг образов через Copacetic (только уязвимости уровня ОС).
• GitOps: синхронизация проектов из Git и режим Back up to Git.
• Два режима агента: прямой, когда менеджер сам подключается к агенту, и edge, когда агент подключается наружу и не требует входящих портов.
• Бэкапы в S3 и по расписанию для томов, поддержка Docker Swarm, passkey, CLI.
• Convert to Compose - экспериментальная функция, которая собирает compose-файл из уже работающих контейнеров.

Что не очень хорошо:

• Нет LDAP - только OIDC. Для дома некритично, но на работе это существенная деталь.
• Нет файлового браузера внутри контейнера. Есть Volume Workspace для просмотра и правки файлов в томах, но лезть в файловую систему самого контейнера нельзя.
• Скорость изменений - палка о двух концах. В v2.8.0 и v2.9.0 был баг GitOps: клоны репозиториев копились на диске (один из пользователей насчитал около 9 ГБ в сутки). Исправили в v2.10.0, но если ставите Arcane ради GitOps - берите эту версию или новее.
• Секреты и HTTPS. У ENCRYPTION_KEY есть dev-значение по умолчанию, его нужно заменить. А passkey заработают только по HTTPS и при правильно указанном APP_URL.
• Существующие проекты подключаются с условием: путь к папке с ними должен совпадать внутри и снаружи контейнера, и указывать его нужно в PROJECTS_DIRECTORY.

Из моего обзора: установка по моему compose-файлу занимает секунд тридцать, данные я, как обычно, храню в bind mount, а доступ к Docker-сокету лучше отдавать через socket proxy.

Komodo

#

Komodo - самый популярный из троих, написан на Rust и распространяется под GPL-3.0. С марта 2026 года живет на второй мажорной версии.

Что в нем хорошо:

• Масштаб. Ограничений на количество серверов нет, и авторы обещают, что никогда не будет. Поверим на слово.
• Богатая модель ресурсов: Servers, Stacks, Deployments, Builds, Repos, Procedures, Actions, Syncs, Alerters.
• Builds. Сборка образов из Dockerfile или git-репозитория, в том числе на временных spot-инстансах AWS EC2.
• Procedures и Actions. Многошаговые сценарии и скрипты на TypeScript, которые запускаются вручную, по расписанию или по вебхуку.
• Syncs. Конфигурация ресурсов описывается TOML-файлами в git, и Komodo приводит реальное состояние в соответствие с описанным. Похоже на Terraform, только для домашней лаборатории и без Terraform.
• Полный аудит. Каждое изменение записывается: кто и когда его сделал.
• Права и вход. Гранулярная система прав, вход по паролю, через OAuth (GitHub, Google) или через generic OIDC, 2FA на TOTP и passkey.
• Что принесла v2: управление Docker Swarm, исходящее подключение Periphery к Core, PKI-аутентификация между ними с автоматической ротацией ключей, onboarding-ключи для быстрого добавления серверов, терминалы и интерактивная OpenAPI-документация.
• Podman поддерживается через алиас podman → docker, как сказано в документации.

Что не очень хорошо:

• База данных. Только MongoDB либо FerretDB (эмулятор протокола MongoDB поверх Postgres или SQLite). Возможность работать с Postgres напрямую в проекте не предусмотрена, и с моей точки зрения это огромный минус.
• Periphery обязателен всегда, даже на основном хосте.
• Нет автообнаружения стеков. Каждый стек нужно объявить в Komodo вручную, готового импорта из того же Portainer нет.
• root_directory Periphery - место, где легко споткнуться. Он должен указывать на родительскую папку со всеми вашими compose-проектами, иначе получите No such file or directory. Подробно я это разбирал в обзоре.
• Расхождение версий Core и Periphery, если Core обновляется по плавающему тегу, а агент на удаленном хосте - нет. Лечится за пару минут, но об этом надо помнить, да и необходимость ручного обновления по всем хостам раздражает.
• Порог входа выше. Ресурсы, TOML, процедуры - чтобы раскрыть потенциал, придется разбираться.
• Встроенного сканера уязвимостей в списке возможностей нет.
• С версии 2.3.0 появилась опциональная отправка статистики использования. Она включается вручную, но для тех, кому важна нулевая телеметрия, это надо помнить.

Из моего опыта. У меня Komodo основной инструмент. Все стеки лежат в одном git-репозитории на Forgejo, а деплой запускается вебхуком при каждом push. Как это собрать, я подробно описал в статье Forgejo + Komodo - превращаем Docker Compose в GitOps. Уведомления об алертах уходят в Gotify через отдельный алертер.

Отдельно про лицензии

#

Тема вроде бы скучная, но именно здесь между проектами самая принципиальная разница.

• Arcane - BSD-3-Clause. Разрешающая лицензия: можно использовать где угодно, в том числе в коммерческих проектах.
• Komodo - GPL-3.0. Для самостоятельного использования никаких ограничений. Копилефт начинает работать, только если вы форкаете проект и распространяете измененную версию.
• Dockhand - Business Source License 1.1. Это не open source в понимании OSI, и авторы лицензии сами об этом прямо пишут. Исходники открыты, но у использования есть ограничения, а каждая версия со временем превращается в Apache 2.0.

С Dockhand есть важный нюанс. Когда я писал первый обзор, все выглядело просто. Бесплатно можно все, кроме превращения Dockhand в SaaS-сервис для третьих лиц, а на Apache 2.0 проект перейдет 1 января 2029 года. На момент написания этой статьи (21 сентября 2026 года) формулировки в разных местах расходились: сайт dockhand.pro уже показывал более строгую редакцию, а LICENSE.txt в GitHub-репозитории отставал и содержал прежнюю, более мягкую версию.

При повторной проверке 30 сентября 2026 года расхождение уже исчезло - LICENSE.txt в репозитории обновился (пометка «Last updated: 14 September 2026» прямо в файле) и теперь текстуально совпадает с сайтом.

Это оказалось не последней правкой. 03 октября 2026 года в LICENSE.txt добавили отдельную категорию - «sole operator use»: индивидуальный предприниматель или самозанятый, который работает один и использует Dockhand для инфраструктуры, которой управляет сам, без сотрудников, подключенных к этой работе, теперь тоже попадает в бесплатную категорию. До этой правки формулировка требовала коммерческую лицензию от любого ИП или самозанятого независимо от наличия сотрудников - теперь порог сдвинут именно на наличие сотрудников у организации. Действующая редакция такая (только вы учтите, что это все не про нас, поэтому не принимайте близко к сердцу вещи, которые касаются только зарубежных пользователей. Российские пользователи, вы удивитесь, но у меня есть англоязычная версия сайта):

• бесплатное production-использование разрешено физическим лицам для личных целей (домашняя лаборатория, хобби), некоммерческим организациям и учебным заведениям;
• бесплатно также для ИП и самозанятых, которые работают одни и используют Dockhand для своей же инфраструктуры без привлечения сотрудников (категория «sole operator use», добавлена 3 октября 2026 года);
• коммерческая лицензия обязательна только для компании, госоргана или любой другой организации, у которой есть сотрудники: SMB за 499 долларов за хост в год, Enterprise за 1 499;
• разработка, тестирование, staging, CI/CD и ознакомление бесплатны для всех;
• запрещено предлагать Dockhand или его форк третьим лицам как хостинг или SaaS без отдельного соглашения;
• каждая версия переходит на Apache 2.0 через четыре года после выхода.

Общее для всех - docker.sock

#

Переезд с Portainer

#

Готовой кнопки «импортировать стеки из Portainer» нет ни у кого из троих:

• Dockhand умеет «усыновлять» (adopt) стеки, созданные вне приложения, и импортировать проекты из других менеджеров контейнеров.
• Arcane подключает папку с существующими compose-проектами, а экспериментальный Convert to Compose помогает собрать файлы из уже запущенных контейнеров.
• Komodo сам стеки не находит. Каждый нужно объявить вручную, хотя есть неофициальная утилита komodo-import, которая генерирует конфигурацию по существующим папкам.

Хорошая новость: Portainer и любая из этих панелей прекрасно живут параллельно, поэтому переносить стеки можно по одному, без остановки всего хозяйства.

Так что же выбрать

#

• Один-два хоста, хочется чего-то простого и красивого - Arcane или Dockhand. Arcane выигрывает тем, что RBAC и все остальные функции бесплатны. Dockhand - продуманной защитой при обновлениях и поддержкой секретных хранилищ.
• Важен GitOps, несколько серверов и автоматизация - Komodo. Процедуры, вебхуки, сборки и синхронизация конфигурации через TOML есть только у него. Цена вопроса - MongoDB и более высокий порог входа.
• Нужен бесплатный RBAC - Arcane или Komodo. У Dockhand он в платной Enterprise.
• Нужен LDAP/Active Directory - только Dockhand Enterprise. У остальных двоих его нет.
• Хосты за NAT или файрволом. С этим справятся все три: Hawser у Dockhand, edge-режим у Arcane и исходящий Periphery у Komodo v2.
• Используете Swarm - Arcane или Komodo. У Dockhand Swarm нет.
• Планируете переезд на Podman - Komodo заявляет поддержку через алиас, у Dockhand она частичная, а по Arcane я в документации ничего определенного не нашел, так что проверяйте на своем сценарии. Kubernetes при этом не управляет ни один из трех.
• Ставите в организации. Сначала лицензия: Arcane и Komodo здесь проще всего, у Dockhand читайте раздел выше.
• Уже сидите на Portainer и не собираетесь на Kubernetes. После анонса 3.0 это тоже повод присмотреться к альтернативам. Развитие Portainer теперь сосредоточено вокруг Kubernetes, а Docker-ветка получает только поддержку без новых функций.

Итог

#

Коротко:

• Arcane - лучший вариант «поставил и пользуйся», если нужен один современный интерфейс, а разбираться с лицензиями не хочется.
• Dockhand - самый заботливый к безопасности обновлений и секретов, но платный RBAC и изменившаяся лицензия делают его менее очевидным выбором для бизнеса.
• Komodo - самый мощный и самый требовательный. Если вам нужен не просто интерфейс, а полноценный конвейер деплоя на несколько серверов, других таких среди бесплатных решений сейчас нет.

Лично у меня в работе остался Komodo - связка Forgejo, вебхуков и процедур закрывает все мои требования. При этом для одного-двух хостов я бы без стеснения поставил Arcane - он честно делает свое дело и почти не нагружает систему.