Secretos y variables de entorno en Docker
ARG es el tiempo de compilación (visible en el historial de imágenes). ENV es tiempo de ejecución y está integrado en los metadatos de configuración. Tampoco lo es una bóveda: trate los secretos de producción con montajes secretos de Docker/Kubernetes, almacenes externos o montajes secretos de BuildKit que nunca aterrizan en capas.