Docker
Errores de diseño, seguridad, persistencia, builds y operación.
Un antipatrón de Docker es una decisión que resuelve el síntoma inmediato a costa de reproducibilidad, seguridad, capacidad de reemplazo o claridad operativa.
“funciona ahora”
→ privilegio/acoplamiento/estado oculto
→ falla más costosa despuésNo toda excepción es incorrecta. Se vuelve antipatrón cuando se adopta sin amenaza, límites, verificación ni plan para retirarla.
image: my-api:latestProblemas:
Corrección:
my-api@sha256:...Usa tags como conveniencia y digests como identidad.
git pull
→ docker build
→ docker compose upProblemas:
Corrección:
CI build/test/push
→ producción pull digest aprobadobuild staging con config A
build production con config BYa no pruebas el mismo artefacto.
Corrección: construye una vez y configura en runtime. Solo separa imágenes cuando el producto ejecutado es realmente distinto, no por variables ordinarias.
docker exec -it api sh
apt install ...
vi /app/file.jsProblemas:
Corrección: corrige source/Dockerfile, construye nuevo digest, prueba y despliega.
Durante incident response, usa debug tooling externo o image debug controlada. No conviertas el runtime en mascota mutable.
Root interno tiene más capacidad frente a archivos, capabilities y errores de configuración.
Corrección:
USER 10001:10001Acompaña con ownership explícito y pruebas. No uses root para ocultar permisos mal diseñados.
docker run --privileged appPuede ampliar devices, capabilities y desactivar defensas.
Corrección:
“Solo funciona privileged” es el inicio del diagnóstico, no la solución.
Es una capability extremadamente amplia y suele introducir un poder cercano a múltiples privilegios administrativos.
Corrección: rediseña la operación, usa helper aislado o concede la capacidad específica cuando exista.
volumes:
- /var/run/docker.sock:/var/run/docker.sockNormalmente entrega control administrativo del daemon/host.
Corrección:
Non-root dentro del container no neutraliza el socket.
COPY .env .env
ARG TOKEN
ENV TOKEN=$TOKENPueden quedar en layers, metadata, cache, registry y equipos que hicieron pull.
Corrección:
.dockerignore;Borrar el archivo en una capa posterior no lo elimina de la capa anterior.
RUN env
set -xO registrar request headers y connection strings.
Corrección: allowlist de campos, redacción y errores que indiquen el nombre del secret sin contenido.
COPY . .
RUN npm ciCualquier cambio invalida cache y el context puede incluir secretos/ruido.
Corrección:
COPY package.json package-lock.json ./
RUN npm ci
COPY src ./srcAcompaña con .dockerignore.
Consecuencias:
node_modules del host;.git innecesario;Corrección: allowlist mental del build context y exclusiones revisadas.
Una image de una etapa conserva compiler, tests, dev dependencies y source.
Corrección: multi-stage y runtime mínimo compatible.
No persigas tamaño a costa de certificados, librerías o diagnóstico. “Mínimo” significa necesario y operable.
Musl y paquetes disponibles pueden romper módulos nativos o aumentar tiempo de compilación.
Corrección: evalúa compatibilidad, CVEs, rendimiento, soporte y operación. slim puede ser mejor aunque pese más.
macOS/Windows/amd64/arm64 y libc pueden diferir.
Corrección: instala dentro del build para la plataforma objetivo. En desarrollo, conserva dependencias Linux en volume.
CMD ["npm", "start"]Puede añadir proceso intermediario y señales menos claras.
Corrección:
CMD ["node", "dist/server.js"]Si usas script, garantiza exec y shutdown correcto.
Resultado:
Corrección: exec form, handlers idempotentes, draining y prueba con docker stop.
Ejecutar SSH, cron, web server, database y app bajo un supervisor gigante crea:
Corrección: separa responsabilidades por service cuando tienen lifecycle, escala o seguridad distintos.
Excepción: appliance o entorno edge puede justificar múltiples procesos, pero necesita init/supervisión y modelo explícito.
El principio busca una responsabilidad, no prohibir workers hijos legítimos.
Un servidor puede crear threads/processes. Lo importante es:
/app/uploads
/var/lib/postgresql/datasin mount.
Al recrear, desaparecen. Además crece la capa y dificulta backup.
Corrección:
Un volume local puede perderse con el host, corrupción o eliminación.
Corrección: backup externo consistente + restore probado + RPO/RTO.
Dificultan ownership, inventario y restore.
Corrección: named volumes con labels y documentación.
No crea cluster y puede corromper datos.
Corrección: replicación/topología soportada por el motor o servicio administrado.
postgres:14 → postgres:17El formato puede ser incompatible.
Corrección: procedimiento oficial, backup/restore, ensayo y rollback.
Suelen correr solo con directorio vacío.
Corrección: migrations versionadas y job coordinado.
Produce carreras, locks y fallos de rollout.
Corrección: job único y compatibilidad expand/contract.
ports:
- "5432:5432"
- "6379:6379"Amplía superficie y confunde comunicación interna con acceso del host.
Corrección: networks internas; publica solo proxy/puntos de entrada necesarios y fija interfaz.
Dentro del container, localhost (se abre en otra pestaña) es el mismo namespace.
Corrección: service DNS como db:5432.
Cambian al recrear.
Corrección: DNS, aliases y reconexión.
Proxy, API y database pueden alcanzarse sin necesidad.
Corrección: modela edge, backend, data, queue según flujos. Network isolation no reemplaza auth.
docker run -p 3000:3000 apiPuede exponer externamente según host/firewall.
Corrección:
docker run -p 127.0.0.1:3000:3000 apicuando solo proxy/local debe acceder. Verifica desde otra máquina.
Reduce aislamiento, crea conflictos de puertos y cambia port publishing.
Corrección: bridge user-defined salvo requisito medido.
Tiempo fijo no observa condición real y falla en máquinas lentas.
Corrección: health/readiness + retries con backoff y timeout.
Solo coordina parte del arranque. La dependencia puede caer después.
Corrección: reconexión, retries, circuit breaking y degradación.
Si un proveedor externo cae, todas las instancias quedan unhealthy y reinician.
Corrección: separa liveness, readiness y señales de dependencia. Checks baratos y sin efectos secundarios.
Aumenta paquetes y superficie.
Corrección: usa runtime existente o binary pequeño. A veces curl sí está justificado; mide el trade-off.
Un leak o fork bomb domina el host.
Corrección: memory, CPU y PIDs medidos, más backpressure.
Produce OOM o desperdicio.
Corrección: load tests, RSS/p99, capacidad global y margen.
No deja espacio para buffers, native addons y stacks.
Corrección: margen y métricas de RSS/GC.
Puede crear loops y no corregir causa.
Corrección: comprende la plataforma, alerta/retira tráfico y distingue bugs permanentes de fallos transitorios.
Se pierden al recrear y llenan writable layer.
Corrección: stdout/stderr, logging driver, rotación y centralización.
Disk full afecta todos los services.
Corrección: límites locales aunque exista collector remoto.
Filtra PII/secrets y aumenta costes.
Corrección: logging estructurado con allowlist y IDs de correlación.
Crea nombre global, colisiones y dificulta escalado.
Corrección: service name de Compose y comandos docker compose exec/logs.
Los archivos divergen.
Corrección: base estable + overrides pequeños/profiles y docker compose config en CI.
restart no recrea configuración, image o mounts.
Corrección:
docker compose up -dcon digest/config nuevos y verificación.
Aparecen volumes “vacíos” y networks duplicadas.
Corrección: project name explícito e inventario.
Elimina named volumes del proyecto.
Corrección: úsalo solo en entornos efímeros intencionales.
Puede eliminar datos, cache valiosa, evidencia y rollback.
Corrección: políticas por categoría, labels, TTL e inventario.
Compose en un Engine no reschedulea si el host muere.
Corrección: acepta RTO single-host o adopta scheduler/plataforma multi-host.
Añade control plane, networking, RBAC, upgrades y debugging distribuido.
Corrección: usa la plataforma mínima que satisface SLO y coste sostenible.
Rescheduling no recupera volume local ni diseña replication.
Corrección: storage/topología propia del sistema stateful.
Publicar manifest ARM64 no demuestra funcionamiento.
Corrección: smoke, integration y scan por manifest, idealmente hardware real.
Rompe frontera de supply chain.
Corrección: scopes por confianza, runners efímeros y build correcto con cache vacía.
Scanner no encuentra bugs lógicos ni garantiza exploitability.
Corrección: SBOM, provenance, firma, threat modeling, tests y runtime hardening.
La reproducibilidad congela también vulnerabilidades.
Corrección: proceso automatizado de rebuild/upgrade probado.
El tag puede moverse.
Corrección: firma/verifica subject digest y provenance.
Se pierden logs, state y causa original.
Corrección: inspect/logs/events/stats primero, salvo mitigación urgente.
Elimina fronteras y oculta ownership.
Corrección: UID/GID, groups, mount mode, SELinux/AppArmor y rootless mapping.
Editar /var/lib/docker puede corromper metadata y snapshots.
Corrección: comandos soportados, backup y procedimientos de migración.
Pregunta:
Antes:
services:
api:
build: .
container_name: api
privileged: true
ports:
- "3000:3000"
- "5432:5432"
volumes:
- .:/app
- /var/run/docker.sock:/var/run/docker.sock
environment:
DATABASE_PASSWORD: secretDespués:
services:
api:
image: registry.example.com/api@sha256:...
user: "10001:10001"
read_only: true
cap_drop: [ALL]
security_opt:
- no-new-privileges:true
ports:
- "127.0.0.1:3000:3000"
secrets:
- db_password
networks: [backend, data]
db:
image: postgres:17@sha256:...
volumes:
- db-data:/var/lib/postgresql/data
networks: [data]
secrets:
db_password:
file: /run/secure/db-password
volumes:
db-data:
networks:
backend:
data:
internal: trueEl refactor elimina socket, privileged, bind de source productivo, password en environment, port público de DB y nombre global.
Algunos workloads necesitan:
Una excepción sana tiene:
latest + restart no es una estrategia de release.Modelo mental completo de Docker, la síntesis que conecta source, build, registry, runtime, estado, seguridad y operación.