Contenedores con Docker: Optimización y Seguridad 2025-2026

Introducción a la Optimización y Seguridad en Contenedores Docker

Docker ha revolucionado la forma en que desarrollamos, desplegamos y administramos aplicaciones. Al encapsular software y sus dependencias en contenedores ligeros, se ha convertido en una herramienta indispensable para SysAdmins. Sin embargo, la facilidad de uso no debe eclipsar dos aspectos críticos: la optimización del rendimiento y la seguridad del entorno. Un contenedor mal configurado puede ser una puerta abierta a vulnerabilidades y un consumidor voraz de recursos.

Este artículo está diseñado para SysAdmins que ya conocen los fundamentos de Docker, pero buscan llevar sus despliegues al siguiente nivel. Abordaremos desde la construcción de imágenes eficientes hasta la implementación de políticas de seguridad robustas.

Optimización de Imágenes Docker: El Primer Paso Crítico

La optimización comienza en el momento en que escribes tu Dockerfile. Una imagen grande y llena de capas innecesarias no solo ralentiza los despliegues, sino que también incrementa la superficie de ataque.

1. Elige la Imagen Base Correcta

La elección de la imagen base es fundamental. Evita imágenes monolíticas como ubuntu:latest o debian:latest para entornos de producción.

Alpine Linux: Es la opción más popular por su tamaño mínimo (~5 MB). Usa musl libc en lugar de glibc, lo que puede causar problemas de compatibilidad con algunas aplicaciones binarias.
Distroless: Imágenes mantenidas por Google que contienen solo la aplicación y sus dependencias de tiempo de ejecución. No incluyen shell, gestores de paquetes ni otras herramientas de depuración. Son extremadamente seguras.
Slim Variants: Imágenes oficiales como python:3.11-slim o node:18-slim eliminan paquetes innecesarios, ofreciendo un buen equilibrio entre tamaño y funcionalidad.

Regla de oro: Siempre especifica una versión concreta (tag), nunca latest. Por ejemplo: FROM python:3.11-slim-bookworm.

2. Minimiza el Número de Capas

Cada instrucción en un Dockerfile (RUN, COPY, ADD) crea una nueva capa. Aunque las capas se cachean, demasiadas pueden inflar la imagen y dificultar la gestión.

Combina comandos RUN: En lugar de tener varios RUN separados, únelos con && y limpia la caché de paquetes en el mismo paso.

# Ineficiente
RUN apt-get update
RUN apt-get install -y curl wget
RUN apt-get clean

# Optimizado
RUN apt-get update && apt-get install -y \
    curl \
    wget \
    && rm -rf /var/lib/apt/lists/*

[TIP] Utiliza --no-install-recommends en apt-get install para evitar instalar paquetes sugeridos innecesarios.

3. Usa Builds Multi-Etapa (Multi-stage Builds)

Esta técnica es la más poderosa para reducir el tamaño final de la imagen. Consiste en usar múltiples instrucciones FROM en el mismo Dockerfile. La primera etapa (builder) compila o descarga todo lo necesario, y la segunda etapa (final) solo copia los artefactos necesarios.

# Etapa 1: Compilación
FROM golang:1.21-alpine AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o mi-app .

# Etapa 2: Imagen final mínima
FROM alpine:3.19
RUN apk add --no-cache ca-certificates
COPY --from=builder /app/mi-app /usr/local/bin/mi-app
CMD ["mi-app"]

La imagen final solo contiene el binario compilado y las librerías esenciales, sin el compilador ni las dependencias de desarrollo.

Seguridad en Tiempo de Ejecución: Configuración del Contenedor

Una vez optimizada la imagen, el siguiente paso es configurar el contenedor para que se ejecute de forma segura. Docker ofrece numerosos flags de seguridad que muchos administradores ignoran.

1. Principio de Mínimo Privilegio

Nunca ejecutes procesos dentro del contenedor como root. Esto es una de las malas prácticas más comunes.

Crea un usuario no root en el Dockerfile:

FROM node:18-alpine
RUN addgroup -g 1001 -S nodejs && \
    adduser -S nodejs -u 1001
USER nodejs
COPY --chown=nodejs:nodejs . /app
WORKDIR /app
CMD ["node", "index.js"]

Usa --user en tiempo de ejecución: Si no puedes modificar la imagen, usa el flag --user al ejecutar docker run:

docker run --user 1000:1000 mi-imagen

Evita --privileged: Este flag otorga todos los privilegios del host al contenedor. Solo úsalo si es estrictamente necesario (y casi nunca lo es). En su lugar, añade capacidades específicas con --cap-add.

2. Control de Capacidades del Kernel (Capabilities)

Los contenedores comparten el kernel con el host. Docker permite eliminar capacidades peligrosas y añadir solo las necesarias.

# Eliminar todas las capacidades y añadir solo NET_BIND_SERVICE
docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE mi-imagen

Capacidades peligrosas a eliminar: SYS_ADMIN, NET_ADMIN, SYS_PTRACE, SYS_MODULE.

3. Sistemas de Archivos de Solo Lectura

Los contenedores deberían ser inmutables. Marca el sistema de archivos raíz como de solo lectura y monta volúmenes específicos para datos que necesiten escritura.

docker run --read-only --tmpfs /tmp --tmpfs /var/run mi-imagen

--read-only: Hace que el sistema de archivos raíz sea de solo lectura.
--tmpfs: Monta directorios temporales en memoria (RAM) para que el contenedor pueda escribir en /tmp o /var/run.

[WARNING] Si tu aplicación escribe en /var/log, /etc u otras rutas no temporales, --read-only fallará. Debes montar volúmenes explícitos para esos directorios.

4. Políticas de Reinicio y Límites de Recursos

Un contenedor mal optimizado puede consumir toda la RAM o CPU del host, provocando una denegación de servicio (DoS).

Límites de memoria y CPU:

docker run -m 512m --cpus="1.5" mi-imagen

Políticas de reinicio inteligentes: Evita --restart=always. Usa --restart=unless-stopped o --restart=on-failure:5.

Hardening del Daemon de Docker y del Host

La seguridad no termina en el contenedor. El daemon de Docker (dockerd) y el propio host Linux deben estar protegidos.

1. Configuración Segura del Daemon

El archivo /etc/docker/daemon.json permite establecer reglas globales de seguridad.

{
  "icc": false,
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  },
  "live-restore": true,
  "userland-proxy": false,
  "no-new-privileges": true
}

icc: false: Deshabilita la comunicación entre contenedores por defecto. Luego habilítala explícitamente para contenedores que lo necesiten usando --link o redes definidas por el usuario.
no-new-privileges: true: Previene que los procesos dentro del contenedor obtengan más privilegios de los que ya tienen (evita ataques de escalada).
live-restore: true: Permite que los contenedores sigan funcionando si el daemon se reinicia.

2. Escaneo de Vulnerabilidades en Imágenes

Integra herramientas de escaneo en tu pipeline de CI/CD.

Docker Scout: Herramienta nativa de Docker (disponible con Docker Desktop y Docker Hub).
Trivy (de Aqua Security): Escáner Open Source muy rápido y completo.

# Escanear una imagen local con Trivy
trivy image mi-imagen:latest

3. Usa Redes Definidas por el Usuario

Evita usar la red por defecto bridge. Crea tus propias redes para aislar servicios.

docker network create --driver bridge --subnet 172.20.0.0/16 --ip-range 172.20.5.0/24 app-network
docker run --network app-network --ip 172.20.5.10 mi-contenedor

[INFO] Las redes definidas por el usuario ofrecen resolución DNS automática entre contenedores (por nombre de contenedor), a diferencia de la red bridge por defecto.

Buenas Prácticas de Mantenimiento y Monitoreo

La optimización y seguridad son procesos continuos.

1. Limpieza Regular de Recursos

Los contenedores detenidos, las imágenes sin usar y los volúmenes huérfanos ocupan espacio y pueden ser vectores de ataque.

# Limpiar todo lo no utilizado
docker system prune -a --volumes

2. Monitoreo con Recursos Limitados

Usa herramientas como cAdvisor o Prometheus para monitorizar el uso de CPU, memoria y red de cada contenedor. Establece alertas cuando un contenedor se acerque a sus límites.

3. Mantén el Host y Docker Actualizados

Actualiza el kernel de Linux regularmente (las vulnerabilidades de contenedores suelen explotar fallos del kernel).
Suscríbete a los avisos de seguridad de Docker (CVE).
Usa siempre la última versión estable de Docker Engine.

4. Firma y Verifica Imágenes

Implementa Docker Content Trust (DCT) para asegurarte de que solo se ejecuten imágenes firmadas por ti o por fuentes de confianza.

export DOCKER_CONTENT_TRUST=1
docker pull mi-imagen:segura

Conclusión: Un Ecosistema Docker Robusto

La combinación de optimización de imágenes y seguridad en tiempo de ejecución transforma a Docker de una simple herramienta de desarrollo a un pilar de infraestructura de producción. No se trata de aplicar todas las medidas a la vez, sino de construir una estrategia progresiva:

Empieza por las imágenes: Usa Alpine o Distroless, aplica multi-stage builds y minimiza capas.
Configura contenedores seguros: Ejecuta como no-root, elimina capacidades y usa sistemas de archivos de solo lectura.
Protege el host: Aísla redes, escanea vulnerabilidades y mantén el software actualizado.

Al dominar estos conceptos, no solo mejorarás el rendimiento de tus aplicaciones, sino que también construirás una barrera sólida contra amenazas externas e internas. Recuerda: en el mundo de los contenedores, la seguridad nunca es un accidente, es una decisión de diseño.