Analizador de buenas prácticas Dockerfile con líneas

Detecta la ausencia de WORKDIR, las imágenes base que emplean la etiqueta mutable latest y las instrucciones RUN consecutivas que pueden crear capas innecesarias. Cada hallazgo incluye una línea de origen, un tipo estable y una explicación directa, útil tanto para quien revisa el archivo como para una comprobación automatizada de integración continua.

Obtenga un informe breve y práctico del Dockerfile

Pegue el contenido completo del Dockerfile en el campo de texto y ejecute la comprobación. La respuesta indica si el archivo supera la revisión, cuenta los hallazgos y describe cada problema con un número de línea que comienza en uno, un tipo estable legible por máquinas y un mensaje conciso. El analizador se centra deliberadamente en tres riesgos frecuentes de mantenimiento y no pretende sustituir una suite completa de seguridad para contenedores. Si falta WORKDIR, el aviso se sitúa en la línea 1 porque afecta al archivo entero. Una instrucción FROM se marca en su propia línea cuando la imagen usa latest de forma explícita o no declara ninguna etiqueta y, por tanto, resuelve a latest. Cuando dos RUN son consecutivos, se señala el segundo y se referencia la línea anterior. Los comentarios y las líneas vacías no ocultan esa relación. Un archivo correcto devuelve una lista findings vacía. Las continuaciones con barra inversa forman una sola instrucción lógica y conservan como posición la primera línea física.

Comprenda por qué importan estas tres prácticas

WORKDIR fija de forma explícita el contexto del sistema de archivos para instrucciones posteriores como RUN, COPY, CMD y ENTRYPOINT. Si no aparece, la compilación hereda silenciosamente el directorio elegido por la imagen base, que podría cambiar tras una actualización. Fijar una imagen FROM mediante una etiqueta versionada o un digest inmutable mejora la reproducibilidad. Tanto una referencia sin etiqueta como latest pueden apuntar a contenido distinto aunque el Dockerfile no haya cambiado. Además, cada RUN suele crear una capa del sistema de archivos. Las órdenes consecutivas de instalación, limpieza o configuración suelen pertenecer a una sola operación de shell, de modo que los archivos temporales se eliminen dentro de la misma capa y el historial resulte más claro. El hallazgo se formula como recomendación porque separar RUN puede ser intencionado para conservar límites de caché útiles. La herramienta no reescribe órdenes ni afirma que todas las combinaciones sean seguras. La decisión final corresponde a quien conoce la compilación, su estrategia de caché y el comportamiento de los comandos ante errores.

Ejecute la revisión antes de compilar la imagen

Integre el analizador en el editor, en un flujo previo al commit o al principio de la integración continua, antes de descargar imágenes base y compilar la aplicación. Envíe el texto original, no una representación ya procesada, para conservar las líneas físicas y las continuaciones. El algoritmo es determinista: la misma entrada siempre genera la misma salida y no utiliza red, reloj, valores aleatorios, daemon de Docker ni estado del entorno. Por ello también sirve para Dockerfiles generados. Considere el informe una señal básica de mantenibilidad, no una prueba de seguridad ni de que la imagen pueda compilarse. No ejecuta órdenes de shell, no resuelve variables en nombres de imagen, no inspecciona paquetes, no valida orígenes COPY, no exige un USER sin privilegios y no busca vulnerabilidades. Combine esta revisión rápida con una compilación real, análisis de imágenes, políticas y pruebas del proceso resultante. Si la entrada solo contiene espacios o comentarios, la solicitud falla porque no existen instrucciones que evaluar.