¿Qué es Docker MCP Gateway?
Docker MCP Gateway es el código abierto que hay detrás del plugin de CLI docker mcp y del MCP Toolkit de Docker Desktop. No es un servidor MCP para gestionar tus contenedores. Es un proxy que se sitúa entre un cliente MCP como Claude Desktop, Claude Code, Cursor o VS Code y muchos servidores MCP: arranca cada servidor en su propio contenedor Docker cuando se llama a una de sus herramientas, le inyecta sus secretos o tokens OAuth y los expone todos a través de un único endpoint por stdio, SSE o Streamable HTTP. Los servidores salen del MCP Catalog de Docker (300+ servidores, según la documentación de Docker), de cualquier imagen OCI, del registro oficial de MCP o de un archivo YAML local, y se agrupan en perfiles que pueden subirse a un registro y compartirse.
Eso lo hace algo distinto de mcp-server-docker (reseñado aquí como docker), un servidor de la comunidad que da a un agente herramientas para crear, ejecutar y eliminar contenedores en tu daemon de Docker. El gateway usa el daemon para ejecutar servidores de herramientas aislados; no da al modelo herramientas generales de gestión de contenedores.
El repositorio tiene licencia MIT, está escrito en Go y suma unas 1.630 estrellas en GitHub y 293 forks. Las versiones son frecuentes: v0.44.3 salió el 26 de octubre de 2026, tras v0.44.2 el 21 de octubre. Viene incluido en Docker Desktop, y la documentación de Docker también describe una instalación manual en Docker Engine sin Desktop.
Cómo instalar Docker MCP Gateway
docker mcp gateway run (bundled with Docker Desktop; on Docker Engine, install the docker-mcp binary from GitHub releases into ~/.docker/cli-plugins)¿Merece la pena Docker MCP Gateway?
Su principal valor es la contención. Cada servidor se ejecuta por defecto en su propio contenedor con 1 CPU y 2 GB de memoria, no-new-privileges, ninguna de las variables de entorno de tu equipo y sin acceso al sistema de archivos del host salvo que concedas un montaje, que por defecto es de solo lectura y debe estar bajo una ruta permitida. Los secretos quedan limitados al servidor que los declara, y --block-secrets, activado por defecto, revisa los argumentos y las respuestas de las herramientas en busca de valores que parezcan secretos. Docker compila y firma los servidores locales de su catálogo y publica un SBOM de cada uno; la verificación de firmas está activada por defecto para las imágenes del espacio de nombres mcp/. El registro de llamadas también viene activado y guarda el nombre de la herramienta y la forma de sus argumentos, no sus valores.
Esos valores por defecto no siempre estuvieron ahí. El repositorio ha publicado 10 avisos de seguridad. Solo en julio de 2026 reveló dos críticos, acceso sin autenticar a herramientas en modo contenedor y un montaje bind sin validar a través de las herramientas dinámicas, además de un hallazgo de gravedad alta: la verificación de firmas estaba desactivada por defecto; todos se corrigieron en 0.43.1. Un fallo de DNS rebinding en los transportes HTTP se corrigió en v0.28.0 en diciembre de 2025, y los dos más recientes, ambos de gravedad media, en 0.44.1. El historial muestra un proyecto que se audita y responde rápido, y también significa que fijar una versión antigua es un riesgo real.
Parte de la exposición se mantiene a propósito. El tráfico de red saliente está abierto salvo que un servidor declare límites o ejecutes con --block-network, y el documento de seguridad deja fuera del alcance la inyección de prompts y las descripciones de herramientas envenenadas mientras no rompan un límite del gateway. Dynamic MCP, activado por defecto con el Toolkit, da al agente mcp-find y mcp-add para traer servidores del catálogo en mitad de una sesión; ahorra configuración, pero deja que el modelo amplíe su propia lista de herramientas, y docker mcp feature disable dynamic-tools lo desactiva. El modo de código, que escribe JavaScript que encadena herramientas, Docker lo describe como aún poco fiable.
El gateway funciona sin Docker Desktop, pero como camino de segunda. En Docker Engine descargas tú el binario en ~/.docker/cli-plugins, pones DOCKER_MCP_IN_CONTAINER=1 si se queja de que Desktop no está en marcha, activas los perfiles a mano, guardas los secretos en un archivo .env en lugar del almacén de Desktop y configuras DOCKER_MCP_USE_CE=true junto con un credential helper antes de que funcione OAuth. Cada servidor debe ser una imagen de contenedor; una petición para ejecutar servidores npx o uvx sin más está abierta desde septiembre de 2025, entre 122 issues abiertos. Con Desktop, las empresas con 250 empleados o más, o 10 millones de $ de ingresos o más, necesitan una licencia de pago, desde 9 $ al mes.
Frente a las alternativas, queda entre el hazlo tú mismo y lo alojado. ToolHive, de Stacklok, ofrece un modelo parecido de un contenedor por servidor con más peso en las políticas de equipo; Composio y Pipedream alojan las herramientas y el OAuth por ti, lo que significa que sus servidores ven tus datos. El gateway de Docker lo mantiene todo en tu máquina y, para quien ya usa Docker, elimina la mayor parte del riesgo de instalar servidores de desconocidos.
Dónde se gana su sitio
Un desarrollador que usa Claude Code y Cursor en el mismo portátil
Dejar de configurar dos veces los servidores de GitHub, Notion y Postgres y de guardar claves de API en JSON en texto plano
Crea un perfil con docker mcp profile create, añade los tres servidores del catálogo, guarda sus claves con docker mcp secret y ejecuta docker mcp client connect para cada cliente. Los dos editores llaman entonces al mismo gateway, y las claves no aparecen en la configuración de ninguno.
La responsable de seguridad de una empresa de software de 40 personas
Permitir que la plantilla use servidores MCP sin instalar paquetes npm arbitrarios en sus equipos
Publica un catálogo propio de servidores aprobados con docker mcp catalog create y súbelo al registro de la empresa; la plantilla lo descarga, y las listas de herramientas permitidas de cada perfil recortan lo que pueden llamar los agentes. A este tamaño, las licencias de Desktop solo son gratuitas si los ingresos están por debajo de 10 millones de $.
Un ingeniero de plataforma que monta un servicio interno de agentes en una VM Linux
Ofrecer a los agentes un conjunto fijo de herramientas MCP por HTTP sin Docker Desktop
Ejecuta la imagen docker/mcp-gateway con Docker Compose y el socket de Docker montado, con --servers para los servidores permitidos, --transport streaming y un token en MCP_GATEWAY_AUTH_TOKEN. No se aplica ninguna licencia de Desktop; los secretos vienen de un archivo .env y --block-network restringe el tráfico saliente.
Antes de decidirte
- Puesta en marcha
- En Docker Desktop (el README pide la 4.59 o posterior) activa MCP Toolkit, añade servidores del catálogo y conecta un cliente; la configuración del cliente es solo docker mcp gateway run. En Docker Engine, descarga docker-mcp de las versiones de GitHub en ~/.docker/cli-plugins o ejecuta la imagen docker/mcp-gateway con /var/run/docker.sock montado. La documentación cubre Claude Desktop, Claude Code, Cursor y VS Code.
- Integraciones
- Las herramientas propias del gateway son de gestión: mcp-find, mcp-add, mcp-config-set, mcp-remove, mcp-exec y el experimental code-mode. Todo lo demás procede de los servidores que actives, de los 300+ del catálogo de Docker, de cualquier imagen OCI o del registro de MCP; --tools y las listas permitidas por perfil seleccionan herramientas concretas. Los interceptores pueden ejecutar tus propios scripts antes o después de las llamadas.
- Datos y privacidad
- Se ejecuta en local. El gateway alcanza lo que alcancen los servidores activados y sus secretos, y necesita el socket de Docker, que en una instalación Linux estándar equivale a root. Con Desktop, las métricas del gateway van a la analítica de uso de Docker y pueden desactivarse en los ajustes de Desktop; sin Desktop, la documentación de telemetría dice que no se exporta nada. La salida de herramientas de servicios remotos llega al modelo sin filtrar, salvo la revisión de secretos.
- Coste a escala
- Software gratuito. Las licencias de Desktop se aplican a partir de 250 empleados o 10 millones de $ de ingresos: Pro 9 $, Team 15 $, Business 24 $ por usuario y mes con facturación anual. Cada servidor en marcha reserva por defecto hasta 1 CPU y 2 GB, así que diez servidores mantenidos vivos con --long-lived pueden ocupar buena parte de un portátil.
- Límites
- 122 issues abiertos y 52 pull requests abiertos. Entre las peticiones abiertas están los servidores npx y uvx sin contenedor, pasar secretos desde variables de entorno, desactivar el catálogo por defecto y OAuth en modo Engine. Los servidores añadidos con las herramientas dinámicas solo duran la sesión. El modo de código es experimental.
Lo bueno
- Cada servidor aislado en un contenedor con límites de CPU, memoria y montajes
- Bloqueo de secretos, verificación de firmas y tokens bearer en HTTP activados por defecto
- Un endpoint y un perfil compartidos entre Claude, Cursor y VS Code
- Versiones activas y un modelo de seguridad publicado con correcciones rápidas
Lo malo
- 10 avisos hasta ahora, dos críticos en julio de 2026
- Usarlo en Docker Engine exige instalación manual y apaños
- Tráfico de red saliente abierto por defecto
- Cada servidor debe ser una imagen de contenedor; nada de npx o uvx sin más
Ideal para
Desarrolladores y equipos pequeños que ya usan Docker y quieren muchos servidores MCP detrás de un endpoint aislado y registrado en sus propias máquinas.
Alternativas a Docker MCP Gateway
Docker MCP Gateway: preguntas frecuentes
- ¿Merece la pena Docker MCP Gateway?
- Una opción por defecto sólida para ejecutar una docena de servidores MCP locales sin confiar tu portátil a cada uno, siempre que te mantengas en una versión reciente y aceptes que está construido alrededor de Docker Desktop. Le damos un 4.0 sobre 5.
- ¿Cuánto cuesta Docker MCP Gateway?
- El gateway es gratuito y de código abierto (MIT). Docker Desktop, que lo incluye como MCP Toolkit, es gratuito para uso personal, educación, código abierto no comercial y empresas con menos de 250 empleados y menos de 10 millones de $ de ingresos; si no, Pro 9 $, Team 15 $ o Business 24 $ por usuario y mes con facturación anual. Usarlo solo en Docker Engine evita las condiciones de Desktop.
- ¿Qué inconvenientes tiene Docker MCP Gateway?
- 10 avisos hasta ahora, dos críticos en julio de 2026; usarlo en Docker Engine exige instalación manual y apaños; tráfico de red saliente abierto por defecto; cada servidor debe ser una imagen de contenedor; nada de npx o uvx sin más.
- ¿Para quién es Docker MCP Gateway?
- Desarrolladores y equipos pequeños que ya usan Docker y quieren muchos servidores MCP detrás de un endpoint aislado y registrado en sus propias máquinas.
- ¿Cuánto cuesta Docker MCP Gateway para un equipo o en producción?
- Software gratuito. Las licencias de Desktop se aplican a partir de 250 empleados o 10 millones de $ de ingresos: Pro 9 $, Team 15 $, Business 24 $ por usuario y mes con facturación anual. Cada servidor en marcha reserva por defecto hasta 1 CPU y 2 GB, así que diez servidores mantenidos vivos con --long-lived pueden ocupar buena parte de un portátil.
- ¿Es Docker MCP Gateway seguro para los datos de la empresa?
- Se ejecuta en local. El gateway alcanza lo que alcancen los servidores activados y sus secretos, y necesita el socket de Docker, que en una instalación Linux estándar equivale a root. Con Desktop, las métricas del gateway van a la analítica de uso de Docker y pueden desactivarse en los ajustes de Desktop; sin Desktop, la documentación de telemetría dice que no se exporta nada. La salida de herramientas de servicios remotos llega al modelo sin filtrar, salvo la revisión de secretos.
- ¿Cuáles son las mejores alternativas a Docker MCP Gateway?
- Las alternativas más cercanas que hemos analizado son Composio, Pipedream MCP and Connect y mcp-server-docker.
Respuestas comprobadas el 11 nov 2026.
¿Desarrollas Docker MCP Gateway? Muestra esta nota en tu web
