[HC-ONLINE]

Problema

El escaneo de Trivy en main reporta 289 alertas abiertas en Code Scanning (130 CVEs únicos), de las cuales 284 son paquetes del SO de la imagen Docker.

Diagnóstico medido dentro de la imagen python:3.11-slim-bookworm: 0 paquetes actualizables. Debian 12 es oldstable y no publica parches para la mayoría de esos CVE, así que apt-get upgrade por sí solo no reduce nada.

Cambio

• Base python:3.11-slim-bookworm → python:3.11-slim-trixie (Debian 13) en ambas etapas. Mantiene Python 3.11, igual que el CI (setup-uv fija python-version: "3.11").
• Capa apt-get upgrade en la etapa runtime: no cierra los CVE actuales (Debian ya publicó todo lo disponible), pero evita que la imagen los acumule si se reconstruye sin tirar la caché de capas.
• Corregido el comentario sobre gcc en el builder: esa capa se descarta, no forma parte de la imagen final.
• .trivyignore: eliminada la entrada CVE-2025-62727 (Starlette), ya resuelta por FastAPI 0.153.0 en el PR chore(deps): actualiza dependencias y cierra las 7 alertas de Dependabot #9.
• .pre-commit-config.yaml: pre-commit-hooks v4.5.0 → v6.0.0 (v4.5.0 tiene 2 CVEs); hook pytest-check hecho portable, antes era bash -c con ruta de Windows y no corría en ningún entorno limpio.

Resultado medido (Trivy local, misma configuración antes/después)

	antes	después
Paquetes OS	281	163
CRITICAL	2	0
HIGH	63	46
Total	290	172

Los 163 restantes del SO son status affected de Debian (fix pendiente upstream) y los 9 de Python son las copias vendorizadas dentro de pip, inarreglables desde el Dockerfile.

Validación

• pytest: 61 passed, cobertura 76.83% (idéntica a main).
• black, flake8, mypy limpios; pre-commit run --all-files pasa con los hooks v6.0.0.
• Imagen construida y arrancada contra Redis real: /health 200, /metrics 200, /openapi.json 200.