feat(devsecops): agregar Trivy (imagen + IaC) al pipeline del frontend

trivy config sobre frontend.yaml (CRITICAL/HIGH/MEDIUM, informativo) y
trivy image sobre la imagen recién construida (CRITICAL bloquea con
--ignore-unfixed, HIGH solo informa), entre build (push:false, load:true)
y el push real al registry.

Fix real encontrado al validar contra la imagen real: el stage runner
heredaba npm/npx/corepack completos de la imagen base de Node sin
necesitarlos en runtime, trayendo CVE-2026-59873 (CRITICAL, node-tar
empaquetado en npm). Sacarlos del stage final baja CRITICAL de 1 a 0 y
HIGH fixable de 21 a 15 (las que quedan son de la propia app, ej. next
desactualizado, documentadas como pendiente sin bloquear).

Documenta ambos scans en docs/devsecops/trivy.md con los hallazgos
reales de este repo.

This commit is contained in:

devops

2026-08-14 20:43:09 -05:00

parent 422e9d257d

commit df13233a29

4 changed files with 265 additions and 4 deletions

									
										workloads/docs-portal/mkdocs.yml
									
		+1
		
												View File
												
				@@ -100,6 +100,7 @@ nav:

				      - Conceptos básicos: guia-estudiante/conceptos-basicos.md

				  - DevSecOps:

				      - Gitleaks (secretos): devsecops/gitleaks.md

				      - Trivy (imagen + IaC): devsecops/trivy.md

				extra:

				  social: