Le immagini Docker invecchiano e accumulano CVE: vanno aggiornate. Gli strumenti, con una tensione importante da capire:
- Watchtower – controlla e aggiorna in automatico i container quando esce una nuova immagine. Comodo... e rischioso: un aggiornamento automatico può rompere un servizio senza preavviso, di notte, mentre dormi. Per i tuoi servizi in produzione non è quasi mai la scelta giusta
- Diun – la variante saggia: ti avvisa (via ntfy/Gotify) che c'è un aggiornamento, ma aggiorni tu, quando decidi e con backup pronto
- Renovate – per chi tiene i compose in git: apre pull request con i bump di versione, che rivedi e mergi – il modo più controllato
La regola d'oro, che vale l'intera supply chain: notifica sempre, aggiorna automaticamente solo ciò che puoi permetterti di veder rompere. E qualunque strada, pinna le versioni (mai :latest cieco) e tieni un backup da cui tornare indietro – l'aggiornamento che rompe capita, la domanda è solo se hai la rete sotto.