Docker

Uma imagem, um processo. Multi-serviço, redes e volumes compartilhados: skill docker-compose. Detecte o runtime (package.json, Gemfile, mix.exs, go.mod, Cargo.toml, pyproject.toml) e adapte — não copie um Dockerfile Node em app Elixir.

Regras inegociáveis

• Tags pinadas (node:22-alpine, digest quando o risco exigir). Evite latest em produção.
• Multi-stage: build tools ficam no stage de build; runtime mínimo no final.
• .dockerignore antes do primeiro COPY . . — senão node_modules, .git e secrets entram no context.
• Secrets só em runtime (ENV injetado, files, orchestrator). Nunca COPY .env nem ENV API_KEY=... no Dockerfile.
• Processo como USER não-root.
• Um concern por container (app ou db ou worker).
• HEALTHCHECK em imagens que sobem serviço de longa duração.

.dockerignore