Capas y secretos en el historial

Cada instrucción COPY, ADD o RUN que modifica archivos crea una capa nueva, y las capas se apilan: la imagen final es la suma. Una instrucción posterior que ejecuta rm sobre un archivo no lo quita de la capa donde se escribió; solo añade una capa encima que lo oculta al sistema de archivos que ve el contenedor. Quien descargue la imagen puede leer cada capa por separado, o recorrer el historial, y el archivo está ahí, intacto, en la capa donde entró.

Por eso «copio la credencial, instalo, y la borro» es un patrón engañoso: en el contenedor en marcha el archivo ya no se ve, pero en la imagen que se publicó sigue exactamente donde lo dejaste.

El historial de una imagen lista cada capa con su identificador corto, la instrucción que la creó y su tamaño. Es una radiografía: sin ver el Dockerfile se puede reconstruir qué se hizo y en qué orden. Una capa de tamaño cero suele ser metadatos (USER, CMD); una capa con un archivo copiado tiene un tamaño real. El identificador de la capa es lo que une el historial con el informe del escáner de secretos y con la lista de qué etiquetas publicadas la contienen.

Lee el historial de la etiqueta 2026.09.2 e identifica la instrucción que introdujo el archivo de credenciales.

Hay dos formas de que un secreto necesario solo durante la construcción no quede en ninguna capa. La primera: una construcción en dos etapas, donde la etapa de construcción tiene lo que necesita y la etapa final copia únicamente el resultado. La segunda: un secreto de construcción montado de forma temporal para una sola instrucción, que no se escribe en ninguna capa. Se usan juntas.

Pero arreglar la receta no arregla lo ya publicado. Una credencial que estuvo en una imagen que salió del equipo se considera expuesta: hay que revocarla y emitir una nueva, retirar las etiquetas que la contienen y, si el registro es compartido, asumir que alguien pudo leerla. Reconstruir sin ella es necesario pero no es suficiente.

Abre Dockerfile.v2. La receta corregida tiene dos bloques FROM: el primero construye y recibe la credencial como secreto de construcción; el segundo parte de otra base más pequeña y trae del primero solo la carpeta de la aplicación. Cada bloque tiene un nombre, escrito con AS, y la instrucción COPY --from= usa ese nombre para decir de dónde toma los archivos. Todo lo que no se copia de una etapa a otra queda en esa etapa y no llega a la imagen que se publica.

Identifica cuál de las dos etapas es la que produce la imagen publicada: la última del archivo.

Para decidir qué retirar hay que saber qué etiquetas contienen la capa. Una capa se comparte entre etiquetas si su identificador aparece en varias: el registro la guarda una sola vez, pero cada etiqueta que la referencia la entrega a quien la descargue. La lista de etiquetas publicadas, con las capas propias de cada una, es el mapa de la exposición. Y como la etiqueta más reciente es la que más se descarga, es la primera que hay que mirar.

Cruza el identificador de la capa de la tarea 2 con la lista de etiquetas publicadas.