Tokens de Composer
Crea un token, limítalo a paquetes, redes y una fecha, averigua dónde se ha usado, revócalo y qué ocurre con los tokens compartidos.
Un token de Composer permite a Composer descargar del repositorio en tu nombre. Solo se guarda su SHA-256: el token en sí se muestra una vez, cuando lo creas.
Antes de empezar
- Crea un token por máquina o pipeline (laptop, ci, production): así puedes revocar uno sin tocar los demás.
- Para los servidores y la CI de un equipo, usa tokens de organización: siguen funcionando cuando la persona que los creó se va.
Crea un token
- Abre Configuración → Tokens de Composer.
- Da al token un Nombre (1) que indique dónde se usa.
- Si quieres, elige una Fecha de caducidad (2): el token deja de funcionar ese día, y se te recuerda siete días antes.
- Si quieres, abre Limitar este token (paquetes, redes):
- Solo estos paquetes (3): nombres de Composer separados por espacios o comas;
meteorgpl-plugin/*permite todo un prefijo de proveedor. Vacío significa todos los paquetes. - Solo desde estas redes (4): direcciones o rangos IP como
203.0.113.0/24para tus runners de CI. Vacío significa desde cualquier lugar.
- Solo estos paquetes (3): nombres de Composer separados por espacios o comas;
- Selecciona Crear (5).
Cópialo ahora
La página muestra el nuevo token una sola vez, con el comando que lo guarda para Composer (1) y el propio token (2). Copia uno de los dos antes de salir de la página.
composer config --global http-basic.composer.meteorgpl.com token <your-token>
Recibes un correo electrónico y un aviso en la bandeja de entrada cada vez que se crea un token, así que un token que no hayas creado tú no pasa desapercibido.
Tus tokens
La tabla enumera cada token con su prefijo (los primeros caracteres, para reconocerlo), cuándo se creó, el Último uso (1) y cuándo caduca. Estado (2) indica activo, caducado o cuándo se revocó. Un token limitado muestra sus paquetes y redes bajo su nombre.
Revocar (3) detiene un token de inmediato: a partir de entonces Composer recibe 401 con él. Configuración → Historial de descargas muestra qué versiones ha descargado cada token (Tu cuenta y tu configuración).
Tokens compartidos
Un token es personal. Cuando un mismo token descarga desde muchas redes distintas el mismo día, lo consideramos compartido: se te avisa por correo electrónico y en la bandeja de entrada, y un token claramente filtrado se revoca automáticamente. Crea uno nuevo, mantenlo en privado y usa tokens de organización para los equipos.
Preguntas
He perdido un token. Revócalo y crea uno nuevo; un token no se puede volver a mostrar.
¿Puedo cambiar el nombre de un token? No; crea uno nuevo con el nombre correcto y revoca el antiguo.
¿No ha respondido esto a tu pregunta? Contactar con soporte.