Una password in environment: finisce nei log e in ogni strumento che legge la configurazione del container. Con i secrets di Compose diventa un file in /run/secrets/, e le immagini ufficiali la leggono con la convenzione _FILE.
Di default un container Docker può usare tutta la RAM e tutta la CPU del server. Come si mettono i limiti con docker run e Compose, cosa fa davvero –memory-swap e come si controlla che il limite ci sia.
Come configurare ufw su un server senza perdere l’accesso SSH, perché l’ordine delle regole conta e perché una regola sulla porta 3306 non ferma un container Docker.
Volumi, bind mount e tmpfs non sono tre modi di scrivere la stessa cosa: cambiano chi possiede i file, dove finiscono e cosa resta dopo un docker compose down.
Composer, git e i pacchetti di build finiscono nell’immagine che mandi in produzione anche quando li cancelli. Il multi-stage build li lascia fuori davvero.
depends_on aspetta che il container sia partito, non che il servizio risponda. Come si scrive una healthcheck che funziona e perché pg_isready da solo mente.
Un container Docker parte come root se nessuno gli dice il contrario. Ecco cosa comporta davvero e come mettere in sicurezza un’immagine PHP-FPM + nginx con utente non privilegiato, filesystem in sola lettura e capability azzerate.
