Images et couches

Une image est un modèle en lecture seule. Un conteneur est une instance en cours d'exécution de ce modèle, avec une fine couche inscriptible par-dessus. La même image sert cent conteneurs ; leurs écritures ne se voient pas entre elles, et disparaissent avec eux.

$ docker image inspect --format '{{len .RootFS.Layers}}' nginx:alpine
6

Chaque instruction RUN, COPY ou ADD d'un Dockerfile ajoute une couche. Elles s'empilent et sont mises en cache individuellement.

Pourquoi l'ordre compte

Docker réutilise une couche du cache tant que l'instruction et toutes celles qui la précèdent sont inchangées. Une seule invalidation rejoue tout le reste.

COPY . .                 # ← le moindre changement de code…
RUN npm ci               # ← …refait toute l'installation

L'ordre correct isole ce qui change souvent de ce qui change rarement :

COPY package*.json ./    # ne change qu'au changement de dépendances
RUN npm ci               # ← cache conservé entre deux commits de code
COPY . .

Les pièges classiques

Le tag latest n'a aucune signification particulière : c'est un tag comme un autre, que rien n'oblige à pointer sur la version la plus récente. Il est surtout mouvant — deux builds à deux jours d'écart ne produisent pas la même image. En production, on épingle une version, voire un digest sha256:.

docker build sans .dockerignore envoie tout le répertoire au démon, y compris node_modules et .git. Le build devient lent et l'image grossit sans raison.