[P2] [security] Container Docker corre como root y copia secrets/ al image

[AndreaDiazCorreia]

Labels: security, ops, priority:medium

Severidad: MEDIO
Área: ops/docker

Archivos:

• Dockerfile:9-20
• Dockerfile:16

Problema:

1. El binario corre como root dentro del container.
2. COPY secrets/ /secrets/ empaqueta el Firebase service account en el image layer.
3. No hay HEALTHCHECK.

Propuesta:

• Agregar usuario no-root.
• Quitar COPY secrets/ y montar el service account fuera del image.
• Agregar HEALTHCHECK.
• Considerar imagen runtime más reducida.

Criterios de aceptación:

• El container corre como UID no-root.
• El image no contiene /secrets/.
• Existe HEALTHCHECK.
• docs/deployment.md documenta cómo montar el service account.