Docker в продакшн: пошаговое руководство 2026

Почему «просто работающий» Docker — не продакшн

Многие команды переходят на Docker и думают, что достаточно написать Dockerfile и запустить docker run. Между «работает локально» и «работает в продакшне» — пропасть. Разберём конкретные практики, которые отличают production-деплой от тестового стенда.

Multi-stage сборка: меньше размер, меньше атак

Multi-stage сборки позволяют разделить этап компиляции и финальный образ. Компилятор, сборочные инструменты и dev-зависимости остаются только во временном слое и не попадают в production-образ.

dockerfile# Этап 1: сборка
FROM golang:1.22-alpine AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o server .

# Этап 2: минимальный финальный образ (~8 МБ)
FROM scratch
COPY --from=builder /app/server /server
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
EXPOSE 8080
ENTRYPOINT ["/server"]

Healthcheck и политики перезапуска

Docker не знает, работает ли приложение корректно — только то, что процесс запущен. Добавьте HEALTHCHECK и настройте зависимости через depends_on с условием service_healthy.

yamlservices:
  app:
    build: .
    restart: unless-stopped
    depends_on:
      postgres:
        condition: service_healthy
    healthcheck:
      test: ["CMD", "wget", "-qO-", "http://localhost:8080/health"]
      interval: 30s
      timeout: 10s
      retries: 3
      start_period: 30s
  postgres:
    image: postgres:16-alpine
    restart: unless-stopped
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U $$POSTGRES_USER"]
      interval: 10s
      retries: 5

Управление секретами

Никогда не храните секреты в Dockerfile или переменных окружения, зашитых в образ. Используйте BuildKit secrets для значений, нужных только при сборке, и Docker Secrets / Vault для runtime-секретов.

dockerfile# Секрет используется при сборке и не попадает в слои образа
# docker build --secret id=npmrc,src=$HOME/.npmrc .
RUN --mount=type=secret,id=npmrc \
    cp /run/secrets/npmrc .npmrc && \
    npm ci --production && \
    rm .npmrc

Docker Compose: разделение по окружениям

Используйте override-файлы: docker-compose.yml — базовая конфигурация, docker-compose.prod.yml — продакшн настройки с лимитами ресурсов и политикой логирования.

yaml# docker-compose.prod.yml
services:
  app:
    deploy:
      resources:
        limits:
          cpus: '1.0'
          memory: 512M
    logging:
      driver: "json-file"
      options:
        max-size: "50m"
        max-file: "5"

Чеклист перед деплоем

• Multi-stage сборка с минимальным финальным образом
• Непривилегированный пользователь (USER nonroot)
• HEALTHCHECK в Dockerfile и depends_on с проверкой
• Политика restart: unless-stopped
• Лимиты CPU и памяти
• Секреты вне образа и переменных окружения
• Настроенная ротация логов
• Файл .dockerignore