Docker hardening : durcir un conteneur en profondeur, du Dockerfile au daemon

Voici un Dockerfile qu'on retrouve dans la majorité des dépôts publics : FROM node:latest WORKDIR /app COPY . . RUN npm install EXPOSE 3000 CMD ["node", "server.js"] Six lignes, ça compile, ça tourne, le CI passe. Maintenant, supposons qu'une vulnérabilité dans une dépendance npm donne à un attaqua