🔧 Docker hardening : durcir un conteneur en profondeur, du Dockerfile au daemon

Voici un Dockerfile qu'on retrouve dans la majorité des dépôts publics :



FROM node:latest
WORKDIR /app
COPY . .
RUN npm install
EXPOSE 3000
CMD ["node", "server.js"]






Six lignes, ça compile, ça tourne, le CI passe.

Maintenant, supposons qu'une vulnérabilité dans une dépendance npm donne à un attaquant un RCE dans ce conteneur. Voici ce...