El contenedor cambió solo: qué promete de verdad la etiqueta "latest"

No actualizaste nada. Reiniciaste el contenedor y ahora se comporta distinto: un ajuste desapareció, una interfaz cambió, un complemento dejó de funcionar. No es una avería. latest no es una versión, es un puntero, y no decides tú a qué apunta.

Qué promete de verdad la etiqueta

latest no significa "la última versión estable". Significa "lo último que subió quien la publica". Unos ponen ahí la versión estable, otros una compilación de desarrollo. Por la etiqueta no se distingue.

De ahí salen tres consecuencias, y las tres aparecen en el día a día.

Mismo archivo, resultado distinto. Dos máquinas pueden tener un archivo de configuración idéntico y ejecutar versiones distintas, porque descargaron en momentos distintos. De ahí suele venir la frase "a mí me funciona".

El momento del cambio no lo eliges tú. El contenedor se actualiza cuando se vuelve a crear. La noche que lo reiniciaste porque se llenó un disco, puede que te saltaras una versión sin darte cuenta.

Cuando se rompe, no puedes volver. Esta es la más grave. Si no sabes de dónde venías, no puedes regresar allí. Solo te queda la frase "ayer funcionaba".

Lo importante no es la versión nueva, es poder volver

Fijar una versión no es "ser prudente". Fijar crea un punto al que volver. En una instalación fijada, una actualización es una decisión que tomaste tú, y toda decisión tomada se puede deshacer.

El precio es claro: ahora tienes que hacer tú la actualización. Ese era justamente el objetivo.

Una etiqueta se puede mover, una huella no

Quien publica puede mover una etiqueta a otra cosa. Así que lo que ayer descargaste como 1.2 podría en teoría diferir de lo que descargas hoy como 1.2. Si de verdad quieres decir "exactamente esto", fija la huella de la imagen y no la etiqueta. Se ve larga y fea, pero es la única marca que no se puede mover.

Para la mayoría de instalaciones basta con fijar un número de versión. La huella es para los casos en que debes reproducir exactamente lo mismo años después.

La objeción honesta

"Si fijo, me pierdo los parches de seguridad." Cierto, si fijas y te olvidas. Fijar no es una estrategia por sí sola, es la mitad de un hábito; la otra mitad es leer las notas de versión con regularidad. Fijar y olvidar es peor que quedarse en latest, porque te quedas atrás y no lo sabes.

La prueba es simple: pregúntate cuándo actualizaste por última vez este contenedor. Si no tienes respuesta, el problema no es fijar, es tu calendario.

La red de seguridad del lado de Proxmox

El contenedor está dentro de una máquina virtual o de un contenedor. Eso te da algo que el mundo de los contenedores no ofrece: tomar una instantánea antes de actualizar. Si la actualización sale mal, no rebobinas el contenedor sino la máquina que está debajo.

Esto no sustituye a fijar, pero también cubre lo que no fijaste. El orden que conviene volver hábito es: primero la instantánea, luego la actualización, luego comprobar que de verdad funciona.

Qué hace Atlas

Cuando pegas un archivo de configuración en Atlas, lo lee antes de ejecutarlo. Las imágenes sin versión fijada, es decir las que dicen latest o no llevan etiqueta alguna, se marcan como aviso.

Es a propósito un aviso y no un bloqueo. Fijar es una preferencia y la preferencia es tuya; el trabajo del producto no es decidir sino hacer visible la decisión. Lo verdaderamente peligroso, como dar al contenedor el acceso de mando del servidor o montar el directorio raíz del servidor, se marca con otro color y otro lenguaje.

Un detalle importa: esta lectura ocurre en el lado del servidor. Saltarse la interfaz y enviar el archivo directamente no elimina el aviso. Un aviso que solo vive en la pantalla no es un aviso.