La imagen va a producción: mínima, no-root y firmada — sin negociación.
Dockerfile multi-stage fijado por digest, no-root, sin secretos en capas, con SBOM, escaneo que bloquea y firma cosign. El contenedor nace sin ningún privilegio.
$ schematize install dockerPisos no negociables
No se apagan "para ir más rápido". Lista completa en la skill.
Base fijada por digest
FROM imagen:tag@sha256, nunca una tag móvil ni latest; quien renueva el digest es Renovate o Dependabot, en un PR con escaneo.
No-root con UID numérico
USER 10001:10001 en la etapa final; sin USER el contenedor es root.
Secretos fuera de ARG, ENV y capas
Secreto de build solo con RUN --mount=type=secret; el de runtime entra al arrancar. COPY .env y claves privadas están vetados.
Imagen mínima y multi-stage
La toolchain queda en la etapa de build; la imagen final lleva el binario o runtime y nada más, con un .dockerignore que excluye .env y .git.
Procedencia a la salida
SBOM y provenance al hacer push, escaneo que bloquea en HIGH/CRITICAL y firma cosign por digest, verificada en la admisión.
Tag inmutable y deploy por digest
La tag es el sha de git, el deploy referencia el digest, latest no existe en un registry de deploy y el rollback es redesplegar el digest anterior.
Contenedor sin privilegios
read_only, cap_drop ALL, no-new-privileges y límites de recursos; nunca --privileged, docker.sock montado ni net=host.
Comandos
Instalados en .claude/commands/. Usa /docker-help cuando quieras.
/docker-buildGenera o ajusta el Dockerfile del stack a partir de los ejemplos y prueba que pasa el gate./docker-ccContext compact: escribe contexto + checklist en el archivo y ejecuta /compact./docker-claudeCrea o fusiona el CLAUDE.md siempre activo de Docker en la raíz (no sobrescribe bloques de otras skills)./docker-composeAudita o genera el compose de dev/hml: profiles, healthcheck, base de datos cerrada y .env fuera de git./docker-handoffEscribe el handoff de contexto sin compactar — fin de sesión o cambio de tarea./docker-hardenEndurece imagen y runtime: base mínima, no-root, read-only, cap_drop y límites./docker-helpLista todos los comandos./docker-loadCarga a la fuerza todo el cuerpo normativo: Dockerfile, supply chain, runtime, compose y lenguajes./docker-reviewRevisa Dockerfile y compose contra el piso: ejecuta los dos gates (y hadolint, si existe) y lee lo que la máquina no lee./docker-scanEscaneo que bloquea, SBOM, provenance, firma y verificación (trivy, grype o scout, cosign).Para agentes de IA
Instala sin intervención humana. Metadatos en llms.txt.
- Ejecuta: git clone https://github.com/schematizeme/skill-docker.git && ./skill-docker/install.sh
- O descarga: https://github.com/schematizeme/skill-docker/releases/latest/download/skill-docker.zip y descomprime en .claude/skills/
- Copia assets/CLAUDE.md a la raíz del repo (regla siempre activa).
- Confirma con /docker-help.
Discusión
Cargando…