Build TS con devDeps y runtime solo con deps de produccion, USER node, healthcheck por proceso (deuda: anadir /healthz), secretos siempre por entorno/ficheros montados. Imagen verificada con docker build.
