Como você mantém as imagens de container pequenas e seguras?

Use builds multi stage para que compiladores e dependências de build nunca cheguem à imagem final, comece de uma base mínima como distroless ou slim, e rode como usuário não root. Ordene as camadas para que a instalação de dependências fique em cache separada do código fonte, adicione um .dockerignore, fixe as imagens base por digest e faça varredura no build. Nunca passe segredos como build arguments, porque eles persistem no histórico das camadas.

Para tamanho, as duas coisas que fazem o trabalho pesado são builds multi stage e ordenação de camadas. Construa em uma imagem completa com o toolchain, depois copie só a saída compilada para um runtime mínimo, o que normalmente leva uma imagem de várias centenas de megabytes para dezenas. A ordenação importa porque a instalação de dependências deve ser a sua própria camada acima da cópia do código, senão toda mudança de código invalida o cache e reconstrói tudo. Um .dockerignore impede que o diretório .git local e o node_modules sejam enviados ao daemon. Para segurança, eu rodo como usuário não root com sistema de arquivos raiz somente leitura onde a aplicação permite, fixo a imagem base por digest para o rebuild ser reproduzível, e reconstruo com regularidade para os patches da base chegarem, em vez de fixar e esquecer. A varredura roda no pipeline e falha em achados de severidade alta com correção disponível, e a gente publica um SBOM junto com a imagem para conseguir responder a pergunta de quais serviços usam esta biblioteca em minutos quando o próximo aviso grande sair. Segredos nunca vão em build args; eles ficam visíveis no histórico.