Ein Secret, das in ENV oder ARG geschrieben wird, bleibt in jeder Image-Schicht und im Build-Verlauf erhalten, sodass jeder, der das Image pullen kann, es auch lesen kann. Dieser Skill findet genau das sowie neun weitere häufige Dockerfile-Fehler und erklärt Ihnen, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner über Ihre Dockerfiles aus (Dockerfile, Dockerfile.*, *.dockerfile, Containerfile). Er liefert BLOCK, REVIEW oder NOT FLAGGED und nennt für jeden Fund die Datei, die Zeile, den Grund und einen sichereren Ansatz. Multi-Stage-Builds werden verstanden: Root-Benutzer und Health Checks werden anhand der letzten Stage bewertet. Secret-Werte werden nie ausgegeben: Der Bericht zeigt nur den Variablennamen und die Länge.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• D01: ein Passwort, Token oder Schlüssel, der in ENV oder ARG geschrieben ist

• D02: ein Skript, das per curl oder wget direkt an eine Shell übergeben wird

• D03: eine .env-Datei, ein privater SSH- oder TLS-Schlüssel oder ein .p12/.pfx-Bundle, das in das Image kopiert wird

REVIEW (vor dem Release prüfen)

• D11: das finale Image läuft als root

• D12: ein Basis-Image ohne Tag oder mit :latest

• D13: ADD einer entfernten URL ohne Prüfsumme

• D14: apt-get install, ohne die Paketlisten zu entfernen

• D15: ein freigegebener Port ohne HEALTHCHECK

• D16: sudo in einem Build-Schritt

• D17: chmod 777

Im Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererem Ansatz für jede Regel

• Ein riskantes und ein sicheres Beispiel-Dockerfile sowie der echte Bericht, den der Scanner für das riskante erzeugt

Einschränkungen

Es handelt sich um eine statische Prüfung des Dockerfile-Textes. Der Scanner baut keine Images, liest keine Build-Argumente und unterstützt nur die standardmäßige Zeilenfortsetzung mit Backslash. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 7 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Ansatz) und examples/ (2 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So verwenden Sie es: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten anschließend, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.