minimal

132 imágenes de contenedor pequeñas y reforzadas. Gratuitas, con licencia MIT, firmadas y reconstruidas cada seis horas.

Explorar el catálogo →

---

Inicio rápido

docker pull ghcr.io/rtvkiz/minimal-python:latest

No se necesita cuenta. Cada imagen tiene un complemento :latest-dev con un shell y un conjunto de herramientas para depuración y compilaciones multi-etapa.

docker run --rm -p 8080:80 ghcr.io/rtvkiz/minimal-nginx:latest
docker run --rm -p 6379:6379 ghcr.io/rtvkiz/minimal-redis-slim:latest

Encontrar una imagen → — las 124, con tamaños y recuentos de CVE en vivo.

Verificar lo que has descargado

gh attestation verify oci://ghcr.io/rtvkiz/minimal-python:latest --owner rtvkiz

Cada imagen publicada lleva una firma Cosign sin clave, un SBOM SPDX y procedencia de compilación SLSA v1.0 vinculada al flujo de trabajo y al commit que la produjo.

Comandos de firma, SBOM y procedencia →

Qué las hace diferentes

• Pequeñas y sin shell — las imágenes de producción no incluyen /bin/sh donde la aplicación lo permite, y se ejecutan como no-root por defecto.
• Compiladas desde el código fuente — recetas melange públicas y legibles, no una imagen base reempaquetada. Nativas para amd64 y arm64.
• Nunca obsoletas — reconstruidas cada seis horas con los paquetes actuales de Wolfi; las versiones upstream y los CVE transitivos abren sus propios PRs de fusión automática.
• Verificables — firmadas, con SBOM y procedencia adjuntos a cada digest.

Sin SLA de proveedor, contrato de soporte ni acreditación FedRAMP/FIPS/STIG. Las firmas, los SBOM y la procedencia ayudan con la verificación y las auditorías; no sustituyen esos programas.

Fijación de versiones

FROM ghcr.io/rtvkiz/minimal-python@sha256:<digest>   # immutable
FROM ghcr.io/rtvkiz/minimal-python:3                 # patched, no major jumps

:latest cruza versiones mayores; una etiqueta de versión exacta nunca se mueve.

Etiquetas y fijación de versiones →

Sobre los recuentos de vulnerabilidades

Una compilación en verde no significa cero hallazgos. Grype escanea cada imagen de producción y los resultados son informativos — no bloquean la publicación. El catálogo muestra los recuentos brutos y los efectivos según VEX uno al lado del otro, y las supresiones se reconcilian con cada escaneo nuevo para que no puedan quedar obsoletas silenciosamente.

Interpretar los resultados de escaneo →

Contribuir

make python && make test-python                       # apko-only image
make caddy-melange && make caddy && make test-caddy   # source-built image

PRs bienvenidos. CONTRIBUTING.md cubre las herramientas y la estructura; docs/onboarding.md es la lista de verificación completa para añadir una imagen; docs/roadmap.md es la lista de pendientes ordenada por demanda.

Problemas de seguridad: por favor usa el informe privado de vulnerabilidades en lugar de un issue público.

Licencia

MIT — consulta LICENSE. Las imágenes incluyen paquetes de Wolfi y upstream bajo sus propias licencias; el SBOM SPDX de cada imagen tiene los detalles.