Artefactos

Registry nativo de containers e pacotes.

O registry nativo guarda imagens de container (OCI) e pacotes npm, Maven, NuGet, RubyGems e PyPI, com visibilidade por repositório (privado/interno/público).

• Tags/versões com arquitetura, digest, tamanho, análise de vulnerabilidades (Trivy) e assinatura cosign.
• Inspetor de tag — manifest multi-arch, camadas, CVEs e histórico de push/overwrite/delete.
• Políticas de retenção/limpeza — manter N versões, expirar por idade, remover untagged, bloquear push em CVE crítico.

De quem é um pacote#

• O nome de um pacote pertence ao workspace que o publicou primeiro. Os nomes são partilhados na plataforma, como no npmjs ou no nuget.org; publicar um nome de outro workspace é recusado com 403, antes de qualquer coisa ser gravada.
• Uma versão publicada nunca muda. Enviá-la de novo é recusado (NuGet e RubyGems respondem 409, PyPI 409 "File already exists", npm 403, como os respetivos registries públicos); publique uma nova versão. dotnet nuget push --skip-duplicate e twine upload --skip-existing tratam essa resposta como "já existe". O npm deprecate continua a funcionar.
• Os ids NuGet não distinguem maiúsculas: eQuantic.Auth e equantic.auth são o mesmo pacote.
• Apagar um pacote apaga os seus ficheiros. O nome fica livre, e quem o publicar a seguir começa do zero: nenhuma versão anterior aparece nem pode ser descarregada.
• Um pacote privado só responde aos tokens do próprio workspace. Um pedido sem credenciais recebe 401 com o desafio WWW-Authenticate, que é o que faz o NuGet, o Maven e o pip enviarem as credenciais que configurou. O token de outro workspace recebe 404, a mesma resposta de um pacote que não existe, para que um restore que também consulta o nuget.org ou o npmjs prossiga.