Docker Torna Catalogo de Hardened Images Gratuito: Seguranca Para Todos

Ola HaWkers, a Docker acaba de fazer um movimento significativo para a comunidade de desenvolvedores: o catalogo completo de Hardened Images, anteriormente um recurso pago, agora e totalmente gratuito. Isso representa uma democratizacao importante da seguranca em containers.

Mas o que sao Hardened Images e por que isso importa para voce? Vamos explorar.

O Que Sao Docker Hardened Images?

Hardened Images sao imagens Docker que passaram por um processo rigoroso de endurecimento de seguranca. Elas sao baseadas em imagens oficiais, mas com camadas adicionais de protecao.

Diferencas Para Imagens Regulares

Imagem Docker regular:

Pode conter vulnerabilidades conhecidas
Pacotes nao essenciais instalados
Configuracoes padrao (nem sempre seguras)
Usuarios com privilegios elevados
Logs e debug habilitados

Docker Hardened Image:

Vulnerabilidades conhecidas removidas
Apenas pacotes essenciais
Configuracoes de seguranca otimizadas
Usuarios sem privilegios (non-root)
Superficie de ataque minimizada

O Que Mudou

Antes deste anuncio, o acesso as Hardened Images custava:

Precos anteriores:

Docker Team: Incluido ($11/usuario/mes)
Docker Business: Incluido ($24/usuario/mes)
Docker Personal: Nao disponivel
Docker Pro: Nao disponivel

Agora:

Gratuito para todos os planos
Acesso ilimitado ao catalogo
Atualizacoes automaticas de seguranca
SBOMs (Software Bill of Materials) incluidos

Catalogo Disponivel

Imagens hardened disponiveis:

Alpine Linux (base minimalista)
Ubuntu (varias versoes)
Node.js (LTS e Current)
Python (3.x)
Nginx
PostgreSQL
Redis
MongoDB
MySQL
Go
Rust
Java/OpenJDK

Por Que Isso Importa

A disponibilizacao gratuita tem impactos significativos:

Seguranca Democratizada

Antes:

Apenas empresas com orcamento tinham acesso
Startups e projetos open source vulneraveis
Desenvolvedores individuais sem protecao

Agora:

Qualquer desenvolvedor pode usar
Projetos open source mais seguros
Reducao geral de vulnerabilidades

Numeros de Seguranca

Comparacao de vulnerabilidades (CVEs):

Imagem	Regular	Hardened	Reducao
node:20	147 CVEs	12 CVEs	92%
python:3.12	203 CVEs	18 CVEs	91%
nginx:latest	89 CVEs	7 CVEs	92%
postgres:16	156 CVEs	14 CVEs	91%
redis:7	67 CVEs	5 CVEs	93%

Como Usar

Migrar para Hardened Images e simples:

Troca de Imagem Base

# ANTES: Imagem regular
FROM node:20-alpine

# DEPOIS: Hardened Image
FROM docker.io/library/node:20-alpine-hardened

# Ou usando o registro especifico
FROM dhc.docker.com/library/node:20-alpine

# O resto do Dockerfile permanece igual
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production
COPY . .
EXPOSE 3000
CMD ["node", "index.js"]

Verificacao de Vulnerabilidades

# Escanear imagem regular
docker scout cves node:20-alpine
# Output: 147 vulnerabilities found

# Escanear imagem hardened
docker scout cves dhc.docker.com/library/node:20-alpine
# Output: 12 vulnerabilities found

# Comparar SBOMs
docker sbom node:20-alpine > regular-sbom.json
docker sbom dhc.docker.com/library/node:20-alpine > hardened-sbom.json
diff regular-sbom.json hardened-sbom.json

Configuracao no Docker Compose

# docker-compose.yml
version: '3.8'

services:
  api:
    # Usar imagem hardened
    image: dhc.docker.com/library/node:20-alpine
    build:
      context: .
      dockerfile: Dockerfile
    security_opt:
      - no-new-privileges:true
    read_only: true
    tmpfs:
      - /tmp
    user: "1000:1000"

  database:
    image: dhc.docker.com/library/postgres:16-alpine
    environment:
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password
    secrets:
      - db_password
    volumes:
      - postgres_data:/var/lib/postgresql/data

secrets:
  db_password:
    file: ./secrets/db_password.txt

volumes:
  postgres_data:

Boas Praticas de Seguranca com Containers

Alem de usar Hardened Images, considere estas praticas:

Dockerfile Seguro

# Usar imagem hardened como base
FROM dhc.docker.com/library/node:20-alpine

# Criar usuario nao-root
RUN addgroup -g 1001 appgroup && \
    adduser -u 1001 -G appgroup -D appuser

# Definir diretorio de trabalho
WORKDIR /app

# Copiar apenas arquivos necessarios
COPY --chown=appuser:appgroup package*.json ./

# Instalar dependencias como usuario nao-root
USER appuser
RUN npm ci --only=production

# Copiar codigo fonte
COPY --chown=appuser:appgroup . .

# Expor porta nao-privilegiada
EXPOSE 3000

# Usar ENTRYPOINT ao inves de CMD para maior seguranca
ENTRYPOINT ["node"]
CMD ["index.js"]

# Healthcheck
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
  CMD node healthcheck.js || exit 1

Scan Automatico no CI/CD

# .github/workflows/security.yml
name: Security Scan

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Build image
        run: docker build -t myapp:${{ github.sha }} .

      - name: Run Docker Scout
        uses: docker/scout-action@v1
        with:
          command: cves
          image: myapp:${{ github.sha }}
          sarif-file: sarif.output.json
          summary: true

      - name: Upload SARIF
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: sarif.output.json

Impacto Para o Ecossistema

A decisao da Docker tem efeitos amplos:

Beneficios Para Desenvolvedores

Individuais:

Projetos pessoais mais seguros
Portfolio com boas praticas
Menos riscos em producao

Empresas:

Reducao de custos de seguranca
Compliance mais facil
Menos incidentes de seguranca

Open Source:

Projetos podem adotar sem custo
Comunidade mais segura
Melhores praticas disseminadas

Tendencia do Mercado

Essa decisao segue uma tendencia de democratizacao de seguranca:

Empresa	Recurso	Antes	Agora
Docker	Hardened Images	Pago	Gratuito
GitHub	Dependabot	Pago	Gratuito
Snyk	Open Source Scan	Limitado	Expandido
GitLab	SAST/DAST	Premium	Free tier

Migracao Recomendada

Se voce ainda usa imagens regulares, considere esta estrategia de migracao:

Passo a Passo

Fase 1 - Auditoria:

Liste todas as imagens base em uso
Verifique vulnerabilidades atuais
Identifique equivalentes hardened

Fase 2 - Teste:

Substitua em ambiente de desenvolvimento
Execute suite de testes completa
Valide comportamento da aplicacao

Fase 3 - Producao:

Deploy gradual (canary)
Monitore metricas
Rollback se necessario

Conclusao

A decisao da Docker de tornar as Hardened Images gratuitas e um marco para a seguranca de containers. Agora, nao ha mais desculpa para rodar containers vulneraveis em producao.

Se voce ainda nao migrou, este e o momento ideal. A seguranca do seu ambiente de producao depende disso.

Para mais conteudo sobre DevOps e seguranca, recomendo conferir: Node.js Security Updates: Vulnerabilidades Criticas de Dezembro 2025 onde abordamos atualizacoes criticas de seguranca.