¿Cómo mantienes las imágenes de contenedor pequeñas y seguras?

Usa builds multietapa para que los compiladores y las dependencias de construcción nunca lleguen a la imagen final, parte de una base mínima como distroless o slim, y ejecuta con un usuario sin privilegios de root. Ordena las capas para que la instalación de dependencias se cachee aparte del código fuente, añade un .dockerignore, fija las imágenes base por digest y escanea en cada build. Nunca pases secretos como argumentos de build, porque persisten en el historial de capas.

Para el tamaño, las dos cosas que hacen el trabajo pesado son los builds multietapa y el orden de capas. Construye en una imagen completa con el toolchain y luego copia solo la salida compilada a un runtime mínimo, lo que suele llevar una imagen de varios cientos de megabytes a decenas. El orden importa porque la instalación de dependencias debería ser su propia capa por encima de la copia del código, o si no cada cambio de código invalida la caché y reconstruye todo. Un .dockerignore evita que el directorio git local y los node modules lleguen siquiera al daemon. Para la seguridad, ejecuto con un usuario sin root y un sistema de ficheros raíz de solo lectura donde la aplicación lo permita, fijo la imagen base por digest para que una reconstrucción sea reproducible, y reconstruyo con regularidad para que lleguen los parches de la base en vez de fijar y olvidar. El escaneo corre en el pipeline y falla ante hallazgos de severidad alta con arreglo disponible, y publicamos un SBOM con la imagen para poder responder a la pregunta de qué servicios usan esta librería en minutos cuando llegue el siguiente aviso gordo. Los secretos nunca van en argumentos de build; se ven en el historial.