Bí quyết bảo mật NodeJS Docker trên VPS khi deploy thực chiến

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM node:20-alpine
WORKDIR /app
COPY package*.json ./
RUN npm ci --omit=dev && npm cache clean --force
COPY --from=builder /app/dist ./dist
USER node
EXPOSE 3000
CMD ["node", "dist/server.js"]

services:
  app:
    image: my-node-app
    read_only: true
    tmpfs:
      - /tmp

read_only: true rất hữu ích: app chỉ đọc code/runtime, giảm khả năng ghi file trái phép sau khi bị xâm nhập.

5. Quản lý secret: tuyệt đối không bake vào image

Lỗi nguy hiểm nhất: copy .env vào image hoặc commit secret vào Git. Một khi secret đã vào image registry hoặc Git history → coi như đã lộ.

Quy tắc bắt buộc

– Không commit .env.
– Không COPY . . một cách mù quáng nếu không có .dockerignore.
– Không hardcode secret trong Dockerfile.
– Inject secret lúc runtime qua biến môi trường, Docker secrets, hoặc secret manager.

Ví dụ .dockerignore:

node_modules
.git
.env
.env.*
npm-debug.log
Dockerfile*
docker-compose*

Với production nhỏ trên VPS, biến môi trường runtime là mức tối thiểu chấp nhận được. Nhưng hãy:
– Phân quyền file chứa env nếu dùng env_file.
– Rotate secret định kỳ.
– Tách secret theo môi trường: dev/staging/prod.

6. Network: chỉ expose cái cần expose

Trong Docker, EXPOSE 3000 chỉ là metadata. Cái quyết định thật sự là publish port kiểu -p.

Khuyến nghị thực chiến

– Chỉ publish app public qua reverse proxy như Nginx hoặc Traefik.
– App NodeJS không nhất thiết phải mở thẳng ra Internet.
– DB/Redis chỉ nên nằm ở network nội bộ.

Ví dụ:
– Nginx public: 80, 443
– Node app: chỉ join Docker network, không publish public port
– PostgreSQL/Redis: nội bộ hoàn toàn

Lợi ích:
– Reverse proxy xử lý TLS, rate limiting, header bảo mật.
– App không lộ port trực tiếp.
– Kiến trúc dễ kiểm soát hơn.

7. Reverse proxy + TLS: lớp phòng thủ bắt buộc

Production thực chiến gần như luôn cần reverse proxy phía trước NodeJS.

Nên có

– HTTPS bắt buộc, redirect HTTP → HTTPS.
– TLS certificate qua Let’s Encrypt.
– Security headers: X-Frame-Options, X-Content-Type-Options, Referrer-Policy, CSP nếu phù hợp.
– Rate limiting cho endpoint nhạy cảm: login, OTP, reset password.
– Request size limit để giảm rủi ro upload/DoS.

Ngay cả khi app có middleware bảo mật như helmet, reverse proxy vẫn quan trọng vì nó chặn từ vòng ngoài, trước khi request chạm Node process.

8. Giảm quyền container lúc runtime

Ngoài USER node, có thể siết thêm:

– no-new-privileges
– drop Linux capabilities không cần
– giới hạn CPU/RAM/PID
– restart policy
– healthcheck

Ví dụ Compose:

services:
  app:
    image: my-node-app
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL
    mem_limit: 512m
    pids_limit: 100
    restart: unless-stopped

Vì sao quan trọng?
– App lỗi memory leak → không ăn hết RAM VPS.
– Fork bomb hoặc tiến trình bất thường → bị chặn bởi pids_limit.
– Khai thác privilege escalation → khó hơn với no-new-privileges.

9. Supply chain: dependency an toàn hơn mới là bảo mật thật

Nhiều vụ tấn công không vào server trước, mà vào package. NodeJS đặc biệt nhạy điểm này vì hệ sinh thái dependency lớn.

Thực hành nên có

– Khóa version bằng package-lock.json.
– Chỉ dùng package thực sự cần.
– Chạy npm audit định kỳ, nhưng đừng fix mù quáng.
– Scan image bằng trivy hoặc công cụ tương đương.
– Theo dõi CVE từ base image và package chính.

Ví dụ:

npm audit
trivy image my-node-app:latest

Scan không thay thế hardening, nhưng giúp phát hiện sớm lỗ hổng đã biết.

10. Log, backup, cập nhật: phần hay bị quên nhất

Hệ thống “an toàn” nhưng không có log, không backup, không patch → sớm muộn cũng gặp sự cố nghiêm trọng.

Với log

– Không log password, token, access key, cookie, OTP.
– Mask dữ liệu nhạy cảm.
– Giới hạn retention tránh đầy disk.
– Theo dõi lỗi bất thường: tăng 401, 403, 5xx, CPU spike, restart loop.

Với backup

– Backup DB định kỳ.
– Test restore, không chỉ test backup.
– Lưu bản backup ngoài VPS chính.

Với cập nhật

– Vá hệ điều hành, Docker engine, Node image định kỳ.
– Rebuild image thường xuyên để lấy bản vá từ base image.
– Không dùng tag mơ hồ như latest cho production lâu dài.

11. Checklist tối thiểu trước khi go-live

Trước khi deploy production, hãy tự hỏi:

– SSH key only chưa?
– Firewall deny by default chưa?
– Container chạy non-root chưa?
– Image multi-stage, gọn chưa?
– Không có .env trong image/Git chứ?
– DB/Redis không public chứ?
– Có HTTPS + reverse proxy chưa?
– Có healthcheck + restart policy chưa?
– Có limit RAM/CPU/PID chưa?
– Có backup + test restore chưa?
– Đã scan image/dependency chưa?

Nếu còn nhiều câu “chưa”, đừng vội gọi đó là production-ready.

Kết luận

Bảo mật khi deploy NodeJS bằng Docker trên VPS không nằm ở một “mẹo thần thánh”, mà ở kỷ luật triển khai. Mỗi cấu hình nhỏ như tắt root SSH, dùng non-root container, không nhúng secret vào image, đóng port DB, bật HTTPS, giới hạn quyền runtime — tự nó có thể trông đơn giản. Nhưng ghép lại, chúng tạo khác biệt rất lớn giữa một hệ thống “chạy được” và một hệ thống “chịu được đòn”.

Nếu bạn muốn ưu tiên theo thứ tự, hãy làm 5 việc đầu tiên: harden VPS, non-root container, secret đúng cách, reverse proxy + HTTPS, đóng network tối đa. Chỉ 5 bước này đã loại bỏ phần lớn lỗi bảo mật phổ biến trong các ca deploy NodeJS bằng Docker trên VPS thực chiến.

Muốn an toàn thật, đừng hỏi “làm sao để không bị hack”. Hãy hỏi: nếu bị chọc thủng một lớp, hệ thống của mình còn giữ được gì? Đó mới là tư duy của production thực chiến.