Un script Python de veille en lecture seule surveille deux fois par jour un serveur Linux et ses conteneurs Docker, sans appliquer automatiquement de mise à jour. Il contrôle APT, les images Docker, WordPress, les sauvegardes et systemd, n’alerte qu’en cas de changement et évite les doublons grâce à une empreinte SHA-256. L’article détaille aussi trois pièges rencontrés : le coût caché de docker ps --format '{{json .}}', les CVE manquées dans les dépôts tiers et une syntaxe OnCalendar systemd trompeuse.