Docker Compose para producción: seguridad, healthchecks y mantenimiento

Un archivo Compose que funciona en desarrollo no está listo automáticamente para producción. En producción necesitas imágenes reproducibles, secretos protegidos, datos persistentes, servicios saludables y un procedimiento de reversión.

Separa entornos

Usa archivos Compose distintos o una base con overrides. En desarrollo se montan archivos y se publican puertos; en producción conviene ejecutar una imagen versionada y exponer solo el proxy inverso.

Healthchecks

services:
  api:
    build: .
    restart: unless-stopped
    depends_on:
      db:
        condition: service_healthy
  db:
    image: postgres:16
    healthcheck:
      test: ['CMD-SHELL','pg_isready -U app']
      interval: 10s
      timeout: 5s
      retries: 5

La aplicación también debe tolerar reinicios y reintentar conexiones con límites. Un healthcheck útil comprueba una condición real, no solo que el proceso esté vivo.

Imágenes y secretos

Fija versiones conocidas y evita latest. Escanea imágenes y elimina herramientas de compilación de la imagen final. Nunca guardes contraseñas en Git ni dentro de la imagen; usa secretos de la plataforma o archivos protegidos con rotación.

Volúmenes

Los contenedores son reemplazables, pero la base de datos no. Usa volúmenes administrados, documenta qué datos contienen y prueba su restauración antes de actualizar el esquema.

Red y permisos

Expón solo el proxy al exterior, separa redes internas y ejecuta la aplicación sin privilegios cuando sea posible. Añade límites de CPU y memoria para evitar que un proceso defectuoso consuma todo el servidor.

Logs y rollback

Configura rotación de logs, registra el digest de cada imagen y conserva la versión anterior. Actualiza de forma controlada y no elimines volúmenes durante una actualización sin una copia verificada.

Checklist

• No hay secretos en el repositorio.
• La base no está expuesta públicamente.
• Existen healthchecks y política de reinicio.
• Los volúmenes tienen copias probadas.
• Las imágenes están versionadas.
• Hay un procedimiento de rollback.

Fuentes oficiales

• Docker Compose
• Seguridad de Docker
• Métricas de contenedores

Si quieres conocer otros artículos parecidos a Docker Compose para producción: seguridad, healthchecks y mantenimiento puedes visitar la categoría Blog.