Docker hardening : durcir un conteneur en profondeur, du Dockerfile au daemon

Voici un Dockerfile qu'on retrouve dans la majorité des dépôts publics : FROM node:latest WORKDIR /app COPY . . RUN npm install EXPOSE 3000 CMD ["node", "server.js"] Six lignes, ça compile, ça tourne, le CI passe. Maintenant, supposons qu'une vulnérabilité dans une dépendance npm donne à un attaquant un RCE dans ce conteneur. Voici ce qu'il a effectivement entre les mains : Un shell qui tourne en root (UID 0) L'ensemble des Linux capabilities que Docker conserve par défaut, dont CAP_CHOWN, CAP_D