Artefacts

Registre natif de conteneurs et de paquets.

Le registre natif conserve les images de conteneur (OCI) et les paquets npm, Maven, NuGet, RubyGems et PyPI, avec une visibilité par dépôt (privé/interne/public).

• Tags/versions avec architecture, digest, taille, scan de vulnérabilités (Trivy) et signature cosign.
• Inspecteur de tag — manifest multi-arch, couches, CVE et historique de push/overwrite/delete.
• Politiques de rétention/nettoyage — conserver N versions, expirer par âge, supprimer les untagged, bloquer le push en cas de CVE critique.

À qui appartient un paquet#

• Le nom d'un paquet appartient au workspace qui l'a publié en premier. Les noms sont partagés sur toute la plateforme, comme sur npmjs ou nuget.org ; publier un nom qui appartient à un autre workspace est refusé avec 403, avant que rien ne soit enregistré.
• Une version publiée ne change jamais. La renvoyer est refusé (NuGet et RubyGems répondent 409, PyPI 409 « File already exists », npm 403, comme leurs registres publics) ; publiez une nouvelle version. dotnet nuget push --skip-duplicate et twine upload --skip-existing comprennent cette réponse comme « déjà là ». npm deprecate fonctionne toujours.
• Les ids NuGet ne tiennent pas compte de la casse : eQuantic.Auth et equantic.auth sont le même paquet.
• Supprimer un paquet supprime ses fichiers. Le nom redevient libre, et celui qui le publie ensuite part de zéro : aucune version antérieure n'est listée ni accessible.
• Un paquet privé ne répond qu'aux tokens de son workspace. Une requête sans identifiants reçoit 401 avec le défi WWW-Authenticate, ce qui fait envoyer à NuGet, Maven et pip les identifiants que vous avez configurés. Le token d'un autre workspace reçoit 404, la même réponse qu'un paquet qui n'existe nulle part, pour qu'une restauration qui interroge aussi nuget.org ou npmjs passe à la suite.