Dependencias y actualizaciones

Tres decisiones de configuración deciden si una versión recién publicada llega a producción sin que nadie la mire:

• El rango declarado. Un rango abierto acepta cualquier versión compatible que se publique mañana. Una versión exacta acepta solo esa.
• El archivo de bloqueo. Congela la versión resuelta, con su huella, hasta que alguien la cambie a propósito. Con él, un rango abierto deja de importar en cada compilación: la actualización pasa a ser un cambio revisable en el repositorio.
• El origen de la instalación. Un espejo interno puede aplicar reglas que el registro público no aplica: bloquear versiones retiradas, exigir una antigüedad mínima antes de servir una versión nueva, registrar quién pidió qué. Un servicio que instala directo del registro público se salta todas esas reglas.

Nada de esto significa no actualizar. Las dependencias viejas acumulan fallos conocidos; la meta es que cada actualización entre por una puerta que se ve y se puede revertir, no por la compilación de un sábado por la noche.

El servidor de hojas no fue el único que resolvió la versión retirada. Para saber el alcance hay que recorrer todas las dependencias de todos los servicios, no solo el que dio la alarma: el mismo paquete suele estar en varios sitios con configuraciones distintas.

Hay un servicio que declaraba el mismo rango abierto que el servidor de hojas y aun así no se llevó la versión mala. Ese servicio es la prueba, dentro de la misma empresa, de que el control funciona.

El espejo exige que una versión tenga cierta antigüedad antes de servirla. La idea es sencilla: muchas versiones maliciosas se detectan y se retiran en pocos días, y esperar ese tiempo cuesta poco. Pero la espera tiene que ser mayor que el tiempo que tarda en llegar el aviso. Con la fecha y la hora de publicación de la versión y el momento en que el espejo la bloqueó por el aviso, se puede calcular qué espera habría bastado.

Con lo visto, el equipo de plataforma tiene que proponer una política de dependencias para todos los servicios. Tiene que cerrar la puerta por la que entró la versión sin dejar a la empresa sin parches.