Segurança · 1 min de leitura

Docker: uma porta publicada pode ficar exposta

Confira o endereço de escuta e as regras de rede antes de publicar um container.

Publicar é permitir um caminho de acesso

Uma aplicação acessível apenas na rede interna do Docker não precisa ter sua porta publicada no host. Para um serviço usado somente pelo proxy local, avalie publicar em loopback, como 127.0.0.1:3000:3000, e confirme a topologia.

Não dependa apenas do UFW

No Linux, as regras de publicação do Docker podem encaminhar o tráfego antes das regras usadas pelo UFW. Uma regra de bloqueio no UFW, isoladamente, não comprova que a porta do container está protegida.

Verifique de fora do servidor

Teste o acesso a partir de outra máquina e revise IPv4 e IPv6 quando habilitados.

Publique somente as portas necessárias.
Mantenha bancos e serviços internos fora da exposição pública.
Use controles de rede compatíveis com o backend de firewall do Docker.