Artefactos

Registry nativo de containers y paquetes.

El registry nativo almacena imágenes de container (OCI) y paquetes npm, Maven, NuGet, RubyGems y PyPI, con visibilidad por repositorio (privado/interno/público).

• Tags/versiones con arquitectura, digest, tamaño, escaneo de vulnerabilidades (Trivy) y firma cosign.
• Inspector de tag — manifest multi-arch, capas, CVEs e historial de push/overwrite/delete.
• Políticas de retención/limpieza — mantener N versiones, expirar por antigüedad, eliminar untagged, bloquear push ante CVE crítico.

De quién es un paquete#

• El nombre de un paquete pertenece al workspace que lo publicó primero. Los nombres se comparten en toda la plataforma, como en npmjs o nuget.org; publicar un nombre de otro workspace se rechaza con 403, antes de guardar nada.
• Una versión publicada nunca cambia. Enviarla de nuevo se rechaza (NuGet y RubyGems responden 409, PyPI 409 "File already exists", npm 403, como sus registries públicos); publica una versión nueva. dotnet nuget push --skip-duplicate y twine upload --skip-existing interpretan esa respuesta como "ya existe". npm deprecate sigue funcionando.
• Los ids de NuGet no distinguen mayúsculas: eQuantic.Auth y equantic.auth son el mismo paquete.
• Borrar un paquete borra sus archivos. El nombre queda libre, y quien lo publique después empieza de cero: ninguna versión anterior aparece ni se puede descargar.
• Un paquete privado solo responde a los tokens de su workspace. Una petición sin credenciales recibe 401 con el desafío WWW-Authenticate, que es lo que hace que NuGet, Maven y pip envíen las credenciales que configuraste. El token de otro workspace recibe 404, la misma respuesta que un paquete que no existe, para que un restore que también consulta nuget.org o npmjs siga adelante.