minimal

137 images de conteneurs petites et durcies. Gratuites, sous licence MIT, signées et reconstruites quotidiennement.

Parcourir le catalogue →

---

Démarrage rapide

docker pull ghcr.io/rtvkiz/minimal-python:latest

Aucun compte requis. Chaque image dispose d'un compagnon :latest-dev avec un shell et une chaîne d'outils pour le débogage et les builds multi-étapes.

docker run --rm -p 8080:80 ghcr.io/rtvkiz/minimal-nginx:latest
docker run --rm -p 6379:6379 ghcr.io/rtvkiz/minimal-redis-slim:latest

Trouver une image → — les 137, avec les tailles et les décomptes de CVE en direct.

Vérifier ce que vous avez récupéré

gh attestation verify oci://ghcr.io/rtvkiz/minimal-python:latest --owner rtvkiz

Chaque image publiée porte une signature Cosign sans clé, un SBOM SPDX et une provenance de build SLSA v1.0 liée au workflow et au commit qui l'a produite.

Commandes de signature, SBOM et provenance →

Ce qui les rend différentes

• Petites et sans shell — les images de production n'embarquent pas de /bin/sh lorsque l'application le permet, et s'exécutent en non-root par défaut.
• Construites depuis les sources — des recettes melange publiques et lisibles, et non une image de base reconditionnée. Natives amd64 et arm64.
• Jamais obsolètes — reconstruites quotidiennement à partir des paquets Wolfi actuels ; les versions amont et les CVE transitives ouvrent leurs propres PR à fusion automatique.
• Vérifiables — signées, avec SBOM et provenance attachés à chaque digest.

Aucun SLA fournisseur, contrat de support ou accréditation FedRAMP/FIPS/STIG. Les signatures, SBOM et provenances facilitent la vérification et les audits ; elles ne remplacent pas ces programmes.

Épinglage

FROM ghcr.io/rtvkiz/minimal-python@sha256:<digest>   # immutable
FROM ghcr.io/rtvkiz/minimal-python:3                 # patched, no major jumps

:latest franchit les versions majeures ; un tag de version exact ne bouge jamais.

Tags et épinglage →

À propos des décomptes de vulnérabilités

Un build vert ne signifie pas zéro résultat. Grype analyse chaque image de production et les résultats sont informatifs — ils ne bloquent pas la publication. Le catalogue affiche les décomptes bruts et effectifs VEX côte à côte, et les suppressions sont réconciliées à chaque nouvelle analyse afin qu'elles ne puissent pas devenir obsolètes en silence.

Lire les résultats d'analyse →

Contribuer

make python && make test-python                       # apko-only image
make caddy-melange && make caddy && make test-caddy   # source-built image

Les PR sont bienvenues. CONTRIBUTING.md couvre l'outillage et l'organisation ; docs/onboarding.md est la liste de contrôle complète pour ajouter une image ; docs/roadmap.md est le backlog classé par demande.

Problèmes de sécurité : veuillez utiliser le signalement privé de vulnérabilités plutôt qu'un ticket public.

Licence

MIT — voir LICENSE. Les images incluent des paquets Wolfi et amont sous leurs propres licences ; le SBOM SPDX de chaque image contient les détails.