A imagem vai para produção: mínima, não-root e assinada — sem negociação.
Dockerfile multi-stage por digest, não-root, sem segredo em camada, com SBOM, scan que trava e assinatura cosign. O container nasce sem privilégio nenhum.
$ schematize install dockerPisos inegociáveis
Não se desligam "pra ir mais rápido". Lista completa na skill.
Base por digest
FROM imagem:tag@sha256, nunca tag móvel nem latest; quem renova o digest é Renovate ou Dependabot, em PR com scan.
Não-root com UID numérico
USER 10001:10001 no estágio final; sem USER o container é root.
Segredo fora de ARG, ENV e camada
Segredo de build só por RUN --mount=type=secret; de runtime, entra no start. COPY .env e chave privada são vetados.
Imagem mínima e multi-stage
Toolchain só no estágio de build; a imagem final leva o binário ou runtime e nada mais, com .dockerignore excluindo .env e .git.
Proveniência na saída
SBOM e provenance no push, scan que trava em HIGH/CRITICAL e assinatura cosign por digest, verificada na admissão.
Tag imutável e deploy por digest
Tag igual ao sha do git, deploy referencia o digest, latest não existe em registry de deploy e rollback é redeploy do digest anterior.
Container sem privilégio
read_only, cap_drop ALL, no-new-privileges e limites de recurso; nunca --privileged, docker.sock montado nem net=host.
Comandos
Instalados em .claude/commands/. Use /docker-help a qualquer momento.
/docker-buildGera ou ajusta o Dockerfile da stack a partir dos exemplos e prova que passa no gate./docker-ccContext compact: gera contexto + checklist no archive e roda /compact./docker-claudeCria ou mescla o CLAUDE.md sempre-on de Docker na raiz (não sobrescreve blocos de outras skills)./docker-composeAudita ou gera o compose de dev/hml: profiles, healthcheck, banco fechado e .env fora do git./docker-handoffGera o handoff de contexto sem compactar — fim de sessão ou troca de tarefa./docker-hardenEndurece imagem e runtime: base mínima, não-root, read-only, cap_drop e limites./docker-helpLista todos os comandos./docker-loadCarrega à força o corpo normativo: Dockerfile, supply chain, runtime, compose e linguagens./docker-reviewRevisa Dockerfile e compose contra o piso: roda os dois gates (e hadolint, se houver) e lê o que a máquina não lê./docker-scanScan que trava, SBOM, provenance, assinatura e verificação (trivy, grype ou scout, cosign).Para agentes de IA
Instale sem intervenção humana. Metadados em llms.txt.
- Rode: git clone https://github.com/schematizeme/skill-docker.git && ./skill-docker/install.sh
- Ou baixe: https://github.com/schematizeme/skill-docker/releases/latest/download/skill-docker.zip e descompacte em .claude/skills/
- Copie assets/CLAUDE.md para a raiz do repo (regra sempre-on).
- Confirme com /docker-help.
Discussão
Carregando…