1) Multi-stage build: итоговый образ только с бинарником. 2) Минимальный базовый образ (scratch, alpine, distroless). 3) Не root пользователь (USER в Dockerfile). 4) Один процесс на контейнер. 5) Health endpoint для liveness/readiness. 6) Graceful shutdown по SIGTERM. 7) Конфиг через env или смонтированные файлы, не хардкод. 8) Версия образа по тегу (не latest в проде). 9) CGO_ENABLED=0 для статической сборки где возможно.
RUN adduser -D -g '' appuser
USER appuser
ENTRYPOINT ["/app/server"]