L’image part en production : minimale, non-root et signée — sans négociation.
Dockerfile multi-stage épinglé par digest, non-root, sans secret dans les couches, avec SBOM, scan bloquant et signature cosign. Le conteneur naît sans aucun privilège.
$ schematize install dockerSocles non négociables
Jamais désactivés "pour aller plus vite". Liste complète dans la skill.
Base épinglée par digest
FROM image:tag@sha256, jamais de tag mobile ni latest ; c’est Renovate ou Dependabot qui renouvelle le digest, en PR avec scan.
Non-root avec UID numérique
USER 10001:10001 dans l’étage final ; sans USER, le conteneur est root.
Secrets hors ARG, ENV et couches
Secret de build uniquement via RUN --mount=type=secret ; celui d’exécution arrive au démarrage. COPY .env et clé privée sont interdits.
Image minimale et multi-stage
La toolchain reste dans l’étage de build ; l’image finale ne porte que le binaire ou le runtime, avec un .dockerignore excluant .env et .git.
Provenance en sortie
SBOM et provenance au push, scan bloquant sur HIGH/CRITICAL et signature cosign par digest, vérifiée à l’admission.
Tag immuable et déploiement par digest
Le tag est le sha git, le déploiement référence le digest, latest n’existe pas dans un registry de déploiement et le rollback est le redéploiement du digest précédent.
Conteneur sans privilège
read_only, cap_drop ALL, no-new-privileges et limites de ressources ; jamais --privileged, docker.sock monté ni net=host.
Commandes
Installées dans .claude/commands/. Lancez /docker-help à tout moment.
/docker-buildGénère ou ajuste le Dockerfile de la stack à partir des exemples et prouve qu’il passe le gate./docker-ccContext compact : écrit contexte + checklist dans l'archive et lance /compact./docker-claudeCrée ou fusionne le CLAUDE.md toujours actif de Docker à la racine (n'écrase pas les blocs d'autres skills)./docker-composeAudite ou génère le compose dev/hml : profiles, healthcheck, base fermée et .env hors de git./docker-handoffÉcrit le handoff de contexte sans compacter — fin de session ou changement de tâche./docker-hardenDurcit image et runtime : base minimale, non-root, read-only, cap_drop et limites./docker-helpListe toutes les commandes./docker-loadCharge de force tout le corpus normatif : Dockerfile, supply chain, runtime, compose et langages./docker-reviewRévise Dockerfile et compose contre le socle : lance les deux gates (et hadolint, s’il existe) et lit ce que la machine ne lit pas./docker-scanScan bloquant, SBOM, provenance, signature et vérification (trivy, grype ou scout, cosign).Pour les agents IA
Installez sans intervention humaine. Métadonnées dans llms.txt.
- Lancez : git clone https://github.com/schematizeme/skill-docker.git && ./skill-docker/install.sh
- Ou téléchargez : https://github.com/schematizeme/skill-docker/releases/latest/download/skill-docker.zip et décompressez dans .claude/skills/
- Copiez assets/CLAUDE.md à la racine du repo (règle toujours active).
- Confirmez avec /docker-help.
Discussion
Chargement…