Come si mette in sicurezza un container (e le sue immagini)?

Un container non è una VM: condivide il kernel dell'host, quindi "isolato" ha un asterisco. La sicurezza si costruisce a strati:

• l'immagine: parti da basi minime (alpine, o distroless – nemmeno una shell da abusare), pinna le versioni (mai :latest in produzione – supply chain), e scansiona le vulnerabilità (Trivy, Grype) in CI. Meno c'è dentro, meno c'è da bucare
• il runtime: non girare come root dentro il container (utente non privilegiato), filesystem read-only dove possibile, capabilities Linux ridotte al minimo, niente --privileged (è il container privilegiato del mondo Docker: evasione = host)
• i segreti: via env/secret manager, mai nell'immagine (finiscono nei layer, estraibili per sempre)
• la rete: reti separate, esponi solo le porte necessarie

Su Proxmox il pattern comune è un host Docker in VM/LXC; lo stack si descrive in Docker Compose con questi accorgimenti dentro. E la scansione non è una tantum: le CVE nelle immagini nascono dopo il build – si ri-scansiona e si ri-builda periodicamente.