Descripción general
- Qué hace: permite que Corgea inicie sesión en tu registro de paquetes privado para analizar los paquetes internos de los que dependen tus proyectos, junto con todos los paquetes que esos paquetes internos arrastran.
- Para quién es: equipos cuyas aplicaciones dependen de paquetes publicados internamente —bibliotecas compartidas, SDK de plataforma, frameworks propios— alojados en un registro privado en lugar de uno público como Maven Central, PyPI o nuget.org.
Por qué lo necesitas
Corgea analiza cada dependencia buscándola en el registro del que procede. Los paquetes públicos están disponibles para cualquiera, así que funcionan desde el principio. Los internos no: sin credenciales, Corgea no puede abrirlos, y todo lo que hay detrás permanece invisible. Sin un registro conectado normalmente verás:- Una advertencia Dependency Analysis en el archivo afectado, en la pestaña «Errors» del escaneo.
- Paquetes internos que aparecen sin subdependencias, porque Corgea no pudo mirar dentro.
- Vulnerabilidades ausentes, porque todo lo accesible únicamente a través de un paquete interno nunca se analiza.
Disponibilidad
Los registros de paquetes privados están disponibles para clientes enterprise con tenant dedicado. La función se habilita por organización y está desactivada por defecto: escribe a support@corgea.com para activarla en tu cuenta.
Tipos de paquete compatibles
Registros compatibles
Corgea se conecta mediante el protocolo estándar de cada tipo de paquete, por lo que no está ligado a un proveedor concreto. Funcionará cualquier registro que sirva paquetes como espera el cliente estándar y acepte usuario y token, incluidos:- Sonatype Nexus Repository
- Azure Artifacts
- GitHub Packages
- Google Artifact Registry
- MyGet
- ProGet
- Servidores de registro autoalojados
Antes de empezar
Necesitas:- Un registro al que Corgea pueda llegar. Corgea se conecta a tu registro por internet. Un registro accesible solo desde tu VPN o red privada, o detrás de una lista de IP permitidas, no funcionará hasta que permitas el acceso.
- Un token con acceso de lectura. Corgea solo descarga paquetes y lee su información de dependencias. Nunca publica.
- Un token que no caduque pronto. Corgea guarda el token que proporciones y lo reutiliza en cada escaneo.
Configurar un registro
Paso 1: obtener los datos de tu registro
En tu registro, crea un token (o cuenta de servicio) con acceso de lectura a los repositorios que Corgea deba usar. Anota el usuario al que pertenece y la URL del repositorio.- Maven
- PyPI
- NuGet
Usa la URL del repositorio que sirve tus artefactos internos, por ejemplo:
Paso 2: añadir el registro en Corgea
Ve a Integrations → Package Registries y haz clic en Manage.
Necesitas el permiso Manage Integrations para añadir, editar o eliminar un registro. Consulta Permisos.
Paso 3: elegir qué proyectos lo usan
Deja Apply to all projects activado para que todos los proyectos de tu organización puedan usar este registro, o desactívalo y selecciona proyectos concretos. Consulta Elegir qué proyectos usan un registro.Paso 4: volver a escanear y revisar los resultados
Ejecuta un escaneo nuevo en un proyecto que dependa de un paquete interno y comprueba que:- La advertencia Dependency Analysis de ese archivo ha desaparecido de la pestaña «Errors».
- Tu paquete interno ya muestra subdependencias y se puede expandir en el árbol de dependencias.
- Aparecen las vulnerabilidades que solo existen dentro de paquetes internos.
Conectar un registro no cambia los resultados de escaneos anteriores. Ejecuta un escaneo nuevo para obtener la cobertura mejorada.
Si Corgea no puede llegar a tu registro durante un escaneo, este termina igualmente usando paquetes públicos y muestra una advertencia en el archivo afectado. Un problema del registro nunca hace fallar tu escaneo ni bloquea tu pipeline, pero los resultados no incluirán tus paquetes internos hasta que se resuelva.
Métodos de configuración
Structured form (recomendado)
Introduce tu URL, usuario y token, y Corgea se encarga del resto. Usa esta opción salvo que tengas un motivo concreto para no hacerlo.Paste config file (avanzado)
Si ya mantienes un archivo de configuración de gestor de paquetes para tu registro, puedes pegarlo en su lugar. Elige esta opción cuando tu registro necesite ajustes que el formulario no cubre, como mirrors, proxies o reglas sobre qué paquetes provienen de qué origen.
settings.xml de Maven, un archivo de configuración de pip o un NuGet.Config.
Si cambias un registro existente de un método de configuración a otro, introduce de nuevo las credenciales para el método nuevo. Corgea conserva únicamente las credenciales del método que estás usando.
Elegir qué proyectos usan un registro
Los registros se configuran una vez para tu organización y luego se aplican a los proyectos de dos formas:- Apply to all projects (predeterminado): todos los proyectos de tu organización pueden usar el registro. Ideal para un único registro corporativo.
- Proyectos concretos: solo los proyectos que selecciones. Útil cuando un registro pertenece a un equipo o cuando quieres desplegar la función de forma gradual.
Revisar un proyecto concreto
Abre un proyecto y ve a Settings → Package Registries para ver qué registros se aplican:- Los registros aplicados en todas partes muestran la etiqueta All projects. Cámbialos desde Integrations → Package Registries.
- Los demás registros muestran un interruptor que puedes activar o desactivar para este proyecto.
- Un registro desactivado por completo muestra la etiqueta Disabled.
Cambiar los registros de un proyecto requiere el permiso Change Project. Si el control de acceso a proyectos está activado, también necesitas acceso a ese proyecto.
Usar más de un registro
Puedes añadir tantos registros como necesites, y un proyecto puede usar varios a la vez:- Varios registros para el mismo tipo de paquete: los paquetes se buscan en todos ellos.
- Tipos de paquete distintos: cada uno se gestiona de forma independiente.
- Varios repositorios en un mismo registro: indícalos en Additional repositories en lugar de crear entradas separadas.
Para un mismo tipo de paquete, usa el mismo método de configuración en todos sus registros. Si algunos usan Structured form y otros Paste config file, los archivos pegados se ignoran.
Permisos
Consulta Grupos de permisos para saber cómo asignarlos.
Seguridad
Tus credenciales de registro se tratan como secretos:- Almacenamiento cifrado. Las credenciales se cifran y no se vuelven a mostrar después de guardarlas. Al editar un registro, el campo del token aparece vacío; dejarlo vacío conserva tu token actual.
- Se usan solo durante los escaneos. Las credenciales sirven para autenticarse en tu registro mientras se ejecuta un escaneo, y para nada más.
- Aisladas. Las credenciales y los paquetes descargados con ellas nunca se comparten con otro escaneo ni con otra organización.
- Fuera de tu repositorio. Corgea no escribe tus credenciales en ningún archivo que genere.
- Ocultas en registros y mensajes. Las credenciales se eliminan de los mensajes de error y diagnósticos mostrados en Corgea.
- Acceso de solo lectura. Corgea solo descarga paquetes y lee su información de dependencias.
Registros en redes restringidas
Si tu red bloquea los registros públicos y exige que todos los paquetes pasen por tu propio registro, apunta Corgea a un repositorio que sirva tanto tus paquetes internos como los públicos mediante proxy. Así Corgea obtiene todo lo que necesita de un único origen. Si tu registro solo sirve paquetes internos y los registros públicos no son accesibles, el análisis de dependencias no puede completarse.Resolución de problemas
Dependency Analysis could not fully process this file
Dependency Analysis could not fully process this file
Qué significa: Corgea encontró un paquete que no pudo buscar, normalmente un paquete interno en un registro en el que no puede iniciar sesión.Qué hacer: añade un registro para ese tipo de paquete, comprueba que se aplica al proyecto y vuelve a escanear. Si ya hay un registro conectado, revisa la URL y que el token siga siendo válido.
Private package registry auth was enabled but no registry credentials could be loaded
Private package registry auth was enabled but no registry credentials could be loaded
Qué significa: el proyecto está configurado para usar un registro privado, pero no había ninguno utilizable al iniciar el escaneo. Normalmente el registro se ha desactivado, ya no se aplica al proyecto o se ha eliminado.Qué hacer: ve a Integrations → Package Registries y comprueba que existe un registro para ese tipo de paquete, que está Enabled y que se aplica a todos los proyectos o incluye este.
Private registry dependency resolution failed
Private registry dependency resolution failed
Qué significa: Corgea inició sesión pero no pudo obtener los paquetes. Causas habituales: token caducado o revocado, URL apuntando al repositorio equivocado, o un paquete que no está en el registro.Qué hacer: comprueba las credenciales desde fuera de tu red:Un
401 o 403 indica credenciales incorrectas. Un 404 indica una URL incorrecta.Private registry dependency resolution timed out
Private registry dependency resolution timed out
Qué significa: obtener tus dependencias tardó demasiado, normalmente por un proyecto muy grande o un registro lento.Qué hacer: confirma archivos de bloqueo cuando puedas, para que haya menos que resolver durante el escaneo, y revisa los tiempos de respuesta de tu registro. Después vuelve a escanear.
Some modules in a large repository were not covered
Some modules in a large repository were not covered
Qué significa: el repositorio contiene más módulos independientes de los que Corgea procesa en un solo escaneo.Qué hacer: si los módulos no cubiertos importan, sepáralos en proyectos de Corgea distintos, o confirma archivos de bloqueo para ellos.
Private registry CVE scan failed or timed out
Private registry CVE scan failed or timed out
Qué significa: tus paquetes internos se obtuvieron, pero la comprobación de vulnerabilidades sobre ellos no terminó.Qué hacer: vuelve a escanear. Los resultados de los paquetes públicos no se ven afectados; solo pueden faltar vulnerabilidades propias de paquetes internos.
Dependency analysis fails when public registries are blocked
Dependency analysis fails when public registries are blocked
Qué significa: Corgea necesita componentes disponibles públicamente para analizar tu proyecto, y ni tu registro ni internet los están proporcionando.Qué hacer: apunta el registro a un repositorio que también sirva paquetes públicos mediante proxy. Consulta Registros en redes restringidas.
Will this interfere with my own package manager configuration?
Will this interfere with my own package manager configuration?
Qué significa: no hay nada que corregir. Corgea añade su acceso al registro junto a la configuración incluida en tu repositorio en lugar de reemplazarla, así que tus orígenes y reglas actuales siguen aplicándose.Qué hacer: si aún parecen faltar orígenes, comprueba que el archivo de configuración incluido en tu repositorio sea válido. Corgea deja intacto un archivo que no puede leer antes que arriesgarse a romper tu compilación.
My registry uses http instead of https
My registry uses http instead of https
Qué significa: funciona, pero tu token se envía sin cifrar.Qué hacer: usa
https fuera de pruebas locales.I cannot find the feature in Corgea
I cannot find the feature in Corgea
Qué significa: la función está desactivada por defecto y, en ese estado, se oculta en lugar de mostrarse como bloqueada, por lo que no hay nada que pulsar.Qué hacer: los registros de paquetes privados están disponibles para clientes enterprise con tenant dedicado. Escribe a support@corgea.com para activarla en tu organización y luego recarga la página Integrations.
Mejores prácticas
- Usa una cuenta de servicio dedicada de solo lectura en lugar de un token personal.
- Usa tokens de larga duración y controla sus fechas de caducidad para que los escaneos no pierdan cobertura sin avisar.
- Añade una entrada por tipo de paquete, cada una con su URL correspondiente.
- Prefiere un repositorio que además sirva paquetes públicos: funciona con o sin restricciones de red.
- Prefiere el formulario estructurado y usa un archivo de configuración pegado solo cuando necesites ajustes que no cubre.
- Confirma archivos de bloqueo cuando sea práctico. Los escaneos son más rápidos y los resultados más consistentes.
- Rota los tokens según tu calendario habitual y actualiza el registro en Corgea. Deja el campo del token vacío al editar si no lo estás cambiando.
Relacionado
- Escaneo de dependencias (SCA): cómo funcionan el escaneo de dependencias, el árbol de dependencias y la alcanzabilidad
- Grupos de permisos: conceder View y Manage Integrations
- Gestión de acceso al contenido: controlar quién puede modificar un proyecto