Claude Managed Agents vs self-hosted sandbox con seccomp e gVisor: TCO e threat model a confronto
Anthropic ha rilasciato in public beta il 1 aprile 2026 Claude Managed Agents - harness fully-managed con container configurabili, SSE streaming, zero DIY su E2B/Modal/Firecracker. Ma ha senso dismettere l'harness self-hosted con gVisor + seccomp + cap-drop che ho descritto nell'articolo sul sandboxing? Diagnosi punto per punto: TCO su scala PMI, superficie di attacco comparativa, vendor lock-in, compliance data sovereignty. Spoiler: la risposta è 'dipende da quattro variabili'. Continua a leggere
Ultima modifica:
La build Docker di un'applicazione Laravel richiedeva 8 minuti ogni volta. Con l'ottimizzazione del layer caching (dipendenze Composer separate dal codice applicativo), multi-stage build e l'immagine finale Alpine, siamo scesi a 90 secondi. Il CI è diventato abbastanza veloce da aspettare il feedback. 
Datadog costa 30€ per host al mese. Per un'architettura con 8 microservizi PHP su Kubernetes, il costo era insostenibile. Ho migrato verso OpenTelemetry con collector auto-hosted e Jaeger come backend: zero costi aggiuntivi, stessa visibilità sulle trace distribuite tra i servizi. 
Quando hai dieci microservizi che si parlano tra loro, la gestione della sicurezza e dell'osservabilità a livello applicativo diventa insostenibile. Con Istio, mutual TLS tra tutti i servizi, distributed tracing con Jaeger e circuit breaker configurabili via YAML - senza cambiare una riga di codice PHP. 
I test con SQLite in memoria non trovano i bug che nascono dalle differenze tra SQLite e MySQL. Con Testcontainers per PHP, ogni test di integrazione ottiene un'istanza MySQL reale in un container Docker, azzerata tra le esecuzioni. Ho adottato questo approccio per un cliente e-commerce: i bug in staging sono scesi del 60%. 
Il 60% degli incidenti di sicurezza che gestisco derivano da software non aggiornato. Ho implementato un sistema di aggiornamento automatico dei container Docker con Watchtower configurato in modalità monitor, validazione tramite test di smoke test prima del deploy e rollback automatico in caso di health check fallito. 
Un'immagine Docker pinnata a un tag e mai più ricostruita accumula decine di CVE nelle librerie di sistema, anche se il tuo codice PHP è impeccabile. Ti mostro il processo completo di hardening, base image minimale, multi-stage build, utente non-root, scanning in CI e refresh automatico, e come costruire una chain of trust verificabile dal Dockerfile al deploy. 
I managed Kubernetes dei grandi cloud presentano un conto a tre cifre al mese prima ancora che il primo container giri. Su Hetzner Cloud, con k3s e i driver ufficiali Hetzner, lo stesso cluster di produzione costa una frazione di quella cifra, senza rinunciare a storage persistente, load balancer nativo e alta disponibilità. Ti spiego come, e dove sta davvero il trade-off. 
Docker Compose va bene per la produzione di una PMI - ma solo se usato nel modo giusto. Ho visto container configurati senza restart policy, volumi montati su /tmp, secrets in variabili d'ambiente nel file compose. Vi mostro i pattern corretti e i cinque errori più frequenti che trovo nei subentri. 
Nginx ha i suoi pregi, ma quando gestisci 12 applicazioni su un singolo VPS e ogni deploy richiede modifiche manuali alla configurazione, il costo operativo esplode. Ho migrato un cliente con 6 domini Laravel e 3 API Symfony su Traefik: certificati TLS automatici, dashboard web, zero restart per il deploy.