Projeto Score, da CNCF, reforça a segurança de imagens e do pipeline de release ao entrar no programa open source da Docker

O Score, projeto CNCF Sandbox, usou o DSOS Program para sair de um cenário em que já seguia as boas práticas da OpenSSF e rodava o OpenSSF Scorecard continuamente, mas não tinha ferramenta dedicada de scanning. Com o Docker Scout, cada pull request recebe um comentário da docker/scout-action comparando a imagem do branch do PR com a do main: tamanho, pacotes alterados, CVEs introduzidos ou resolvidos e conformidade com políticas (non-root, sem CVEs críticos, sem pacotes AGPL v3). A análise inclui bibliotecas e binários Go.

Os números medidos são modestos, e isso é o ponto. No score-radius, a troca para dhi.io/golang e dhi.io/static reduziu a imagem em 0,3 MB, manteve a quantidade de pacotes e deixou os CVEs em 0. No sample-score-app, a migração para dhi.io/node removeu 22 pacotes (incluindo o gerenciador de pacotes e o shell) e 2 CVEs. Segundo os mantenedores, a migração foi simples e exigiu mudanças mínimas nos Dockerfiles.

No release, o projeto adotou o workflow reutilizável docker/github-builder, com BuildKit versionado, builds multiplataforma, proveniência SLSA assinada e atestações de SBOM. A assinatura usa OIDC do GitHub, sem chaves de longa duração, e as entradas de cache são assinadas e verificadas antes do reuso, o que ajuda contra cache poisoning. Desde a atualização de 21 de julho de 2026, as conexões OIDC do Docker Hub também permitem pulls e pushes com token de curta duração no lugar do Organization Access Token.

A peça de OIDC já vinha sendo noticiada. Em 3 de agosto de 2026, o CEVIU publicou "Docker Adota OIDC no GitHub Actions para Melhorar Segurança e Autenticação", sobre autenticação com tokens de curta duração em workflows. Agora o Score mostra o uso concreto de OIDC no Docker Hub, trocando o token de longa duração por um emitido por workflow. Sobre as imagens, em 11 de fevereiro de 2026 o CEVIU registrou em "Docker Libera Imagens Reforçadas Gratuitamente: E Agora?" a abertura das DHI, e o caso do Score é um exemplo de adoção real delas em projetos da CNCF.

Para quem opera pipelines de release, o caso do Score funciona como roteiro: scanning no PR com política explícita, imagem base endurecida e build com proveniência assinada, sem credencial estática para vazar. Na leitura editorial, o ganho mais barato de replicar é trocar o token de longa duração por OIDC, porque reduz superfície de ataque sem mexer na aplicação.