Secretos, variables de entorno y configuración

La misma imagen debe correr en dev, staging y production — pero las contraseñas y claves son distintas en cada entorno, y nunca deben entrar en la imagen. En esta lección distinguiremos entre ARG, que existe solo en tiempo de build, y ENV, que permanece en la imagen y en tiempo de ejecución. Veremos

La configuración es como una tarjeta de receta que se puede compartir con todos. Un secreto es como la llave de tu casa — nunca la pegas a la receta y se la repartes a todo el mundo.

ARG: Un valor disponible solo durante la construcción de la imagen. Una vez que termina el build, desaparece y no existe en tiempo de ejecución. Útil para parámetros de construcción, no para configuración que se necesita en tiempo de ejecución.
ENV: Una variable de entorno que se escribe dentro de la imagen y permanece disponible en tiempo de ejecución. Cómoda para configuración no sensible, pero nunca debe contener secretos, ya que queda guardada en las capas de la imagen.
fuga de secretos: Una fuga de información sensible porque quedó escrita dentro de una capa de la imagen. Cada capa se conserva en el historial, así que un secreto escrito una vez está disponible para quien descargue la imagen — incluso si una capa posterior lo 'elimina'.