Docker e ActiveState estendem padrão de conteúdo confiável aos pacotes instalados via pip, npm e Maven

A ActiveState entra como a camada de pacotes de um padrão que a Docker já aplicava às imagens base. O Docker Hardened Images (DHI) é open source sob Apache 2.0, com mais de 4.000 imagens mínimas, Helm charts customizáveis e mais de 65.000 pacotes de sistema endurecidos. Cada imagem traz SBOM assinado e proveniência SLSA Build Level 3. Nos planos pagos, o DHI soma SLA de 7 dias para CVEs críticos e altos, variantes FIPS e STIG e customização segura.

Para os pacotes que pip, npm e Maven puxam, a ActiveState oferece o Curated Catalog, um repositório privado e governado por políticas, que contém só o que a equipe de segurança aprovou. Os componentes são compilados a partir do código-fonte original em ambiente SLSA Level 3, com proveniência e SBOM completos, em vez de binários pré-compilados de registries públicos. Quando sai uma correção upstream, a ActiveState recompila e publica no catálogo, com SLA de 5 dias úteis para CVEs críticos e 10 para altos. O Artifactory ou o Nexus que a equipe já roda aponta para o catálogo como upstream, do mesmo jeito que aponta para o PyPI hoje. O fluxo de pip e npm não muda, e agentes de código recebem a versão governada. Há ainda um dado comercial: a Docker revende o Curated Catalog junto do DHI, e a ActiveState revende o DHI aos seus clientes. O texto é um post da Docker, não da ActiveState, e não aponta repositório público do catálogo.

Em 22 de outubro de 2026, o CEVIU noticiou "Docker e ActiveState fecham parceria para proteger imagens e dependências open source em containers corporativos", com o argumento de que equipes com imagem base hardened muitas vezes não sabem o que roda por cima dela. A notícia de agora detalha como a parceria funciona: o Curated Catalog como upstream do repositório de artefatos, os SLAs de 5 e 10 dias úteis e a revenda cruzada entre as duas empresas. Em 18 de agosto de 2026, o CEVIU já havia registrado a expansão do catálogo Hardened Images como padrão de imagens livres de CVEs. A camada de pacotes é o passo seguinte.

Para quem opera pipelines, a leitura é que o trabalho de segurança sai do scanner pós-build e vai para a fonte das dependências. Se o upstream do seu Artifactory ou Nexus passa a ser um catálogo curado, a mudança fica concentrada na configuração do repositório, não em cada projeto. O custo a avaliar é o de licenciamento (a Docker revende o catálogo) e o que fica fora do conjunto aprovado, que o time terá de pedir e justificar. Os controles de lockfile, digest fixo e cooldown continuam necessários.