MetsuDepManager - Visión general del proyecto 🟡③

• Curso sobre desarrollo de un gestor de paquetes python que use poetry como backend 🟡③

MetsuDepManager - Gestor de dependencias ético, seguro, accesible y listo para producción

Introducción

MetsuDepManager es un gestor de dependencias ético, seguro, accesible y listo para producción para Python, diseñado específicamente para entornos regulados como empresas con políticas de seguridad estrictas (banca, defensa, sanidad, administraciones públicas), entornos educativos obligados por normativas como la LOMLOE y el Real Decreto 1112/2018 de accesibilidad, sistemas air-gapped o con conexión restringida (industria, investigación clasificada), y proyectos sujetos a regulaciones como RGPD, NIS2, ENS Alto o Ciberseguridad Nacional. Como wrapper ligero sobre Poetry, que actúa como su motor principal, integra un motor de políticas avanzado que asegura cumplimiento normativo (vulnerabilidades, licencias, orígenes geográficos) sin comprometer la velocidad ni la usabilidad. Su enfoque offline-first y su soporte para SBOM (Software Bill of Materials) lo convierten en una herramienta indispensable para mitigar riesgos en la cadena de suministro de software, alineándose con regulaciones como NIS2, ENS Alto, DORA e ITAR/EAR.

El proyecto culminante del curso sobre desarrollo de un gestor de paquetes Python que use Poetry como backend, MetsuDepManager nace dentro de MetsuOS, un sistema operativo modular cuya misión fundacional es la plena inclusión a través de los videojuegos y la tecnología. Por eso, la accesibilidad no se negocia jamás: es el fundamento ético y técnico no negociable desde el día cero. En un panorama donde las dependencias open-source representan hasta el 80% del código en aplicaciones modernas, pero introducen riesgos geopolíticos, de licencias y de seguridad, MetsuDepManager prioriza la soberanía tecnológica, la accesibilidad (ARIA-compliant) y la transparencia auditable. Este documento presenta la visión integral del proyecto, su arquitectura, características clave y roadmap, configurado para entornos de alta criticidad.

¿Qué es Realmente MetsuDepManager?

MetsuDepManager no es “otro gestor de paquetes más”. Es una capa segura, ética y altamente configurable construida sobre Poetry que resuelve problemas complejos (CPS aplicado de forma sistemática a un contexto extremadamente específico) que hoy no cubren ni pip, ni Poetry, ni PDM, ni Hatch en entornos exigentes. Su propósito principal es resolver las carencias de las herramientas actuales en contextos estrictamente regulados.

En resumen: es la herramienta que te gustaría haber tenido cuando tu jefe de seguridad, el delegado de protección de datos o el auditor te pidió “garantías” de lo que instalas.

Motivación

El ecosistema Python depende en gran medida de paquetes open-source, pero la gestión de dependencias tradicionales (pip, Poetry) ignora riesgos críticos:
- Vulnerabilidades: Ataques como Log4Shell o SolarWinds destacan la fragilidad de la cadena de suministro.
- Licencias: Conflictos con GPL en entornos propietarios o requisitos de disclosure en UE.
- Orígenes Geográficos: En 2025, tensiones geopolíticas (e.g., sanciones UE a RU/CN, controles US ITAR/EAR) convierten las patentes y tecnologías en vectores de riesgo. Dependencias de orígenes "prohibidos" pueden violar export controls o NIS2.
- Cumplimiento Sectorial: ENS Alto exige protección de supply chain en infraestructuras críticas españolas; DORA obliga a testing de dependencias OSS en finanzas.
- Accesibilidad y Ética: Entornos educativos y públicos obligados por LOMLOE y RD 1112/2018; privacidad en RGPD sin telemetría no consentida.

MetsuDepManager resuelve esto con políticas preconfiguradas, SBOM enriquecidos y hooks no-intrusivos, manteniendo la simplicidad de Poetry mientras añade capas de resiliencia. Prioriza valores como la transparencia total, la auditoría automática, el principio de menor privilegio, la protección de la privacidad y –de forma explícita y no negociable– la accesibilidad universal.

Pilares Éticos y Técnicos No Negociables

Características Principales

1. Wrapper Inteligente sobre Poetry

• Comandos proxy: metsudep add <pkg>, metsudep install, metsudep lock → Aplica políticas pre-instalación.
• Comandos clásicos adicionales: init, remove, update, build, publish.
• Comandos éticos propios: audit, policy, sign-exception, verify-sbom, enforce.
• Offline-first: Resolución y caché local; fallback online solo con consentimiento (no-telemetría).
• Extensibilidad: Plugins via entry-points para resolvers custom (e.g., mirrors EU).
• Soporte completo para entornos virtuales (venv, virtualenv, conda, pixi).
• Exportación instantánea a requirements.txt, conda-environment.yml o pip-compile.

2. Motor de Políticas Multi-Capa

• Vulnerabilidades: Integración con Safety DB y OSV; alertas reachability-based (solo deps explotables).
• Licencias: Perfiles preestablecidos (permissive, copyleft, eu-compliant, defense-restricted).
• Orígenes Geográficos (Geo-Org): Metadatos de país/región en SBOM; políticas para bloqueos/prioridades basadas en regulaciones.
• Perfiles Integrados: Combinación de licencias + geo para zero-config en sectores específicos.
• Configuración en metsudep.toml: Políticas declarativas, excepciones firmadas.

3. Generación y Verificación de SBOM

• Formatos: CycloneDX (con geoOrigin custom en "supplier") y SPDX 2.3.
• Enriquecimiento: Inclusión de hashes, licencias resueltas y orígenes geográficos para compliance NIS2/ENS.
• Comando: metsudep sbom generate --format=cyclonedx --include-geo.

4. CLI Profesional y Accesible

• Basada en Typer + Rich: Tablas coloridas, progresión ARIA, internacionalización (es/ca/en).
• Paleta WCAG AA/AAA y segura para daltonismo; flags --no-color, --color=auto/always/never.
• Salida estructurada 100% compatible con NVDA, VoiceOver y Orca; mensajes claros en español neutro.
• Autocompletado, barras de progreso, árboles de dependencias y tema oscuro/claro.
• Reportes: metsudep audit --full → Tabla unificada de riesgos (vuln/lic/geo).
• Modo CI/CD: Enforcer que falla builds no-compliant.

5. Resiliencia Geopolítica

• Metadatos Geo-Org: Resueltos via DB local (SQLite con ~10k paquetes pre-cargados); fallback a APIs públicas (PyPI, ClearlyDefined).
• Perfiles Geo Preestablecidos: Activables en config para cumplimiento inmediato.

• Excepciones: metsudep sign-geo-exception <pkg> --reason="Auditado".
• Integración: Hooks pre-resolución priorizan mirrors por perfil.

6. Modo Sandbox y Entornos Aislados

• Manejo de venv/conda/pixi, pinning hash+URL, caché 100% offline.
• Modo “enforcer” para CI/CD: bloquea merges si alguna dependencia rompe las políticas.

7. Sistema de Plugins

• Entry-points para hooks como pre_add, post_install.
• Ejemplos reales para resolvers custom.

8. Ética y Accesibilidad: No es un Extra, es el Fundamento

Declaración oficial del proyecto (está literalmente en el README):

«Ninguna funcionalidad técnica podrá justificar la exclusión de personas con discapacidad. La accesibilidad no es opcional: es la base misma de la ética que defendemos.»

• Cumplimiento RGPD: Consentimiento explícito para online.
• Logs estructurados (JSON) para auditorías; no tracking.

9. Publicación y Binarios Standalone

• Opcionales con PyInstaller o Nuitka.
• Publicación a PyPI, wheel.

Arquitectura

• Core: Python 3.11+; dependencias mínimas (Poetry, Tomlkit, Rich, Safety, Typer).
• Hooks: Pre/post en Poetry resolver (GeoResolver, LicenseChecker).
• DB Local: SQLite para caché geo/lic/vuln; actualizaciones offline.
• Plugins: metsudep.vuln_checker, metsudep.geo_resolver.
• Diagrama ASCII:

[User CLI] --> [Policy Engine] --> [Poetry Wrapper]
                   |                 |
                   v                 v
             [SBOM Generator]   [Geo/Lic Resolver]
                   |                 |
                   +--> [DB Local: Vuln/Lic/Geo] <--> [Online Fallback (opt)]

• Testing: Pytest >95% cobertura con Hypothesis (property-based testing); mocks para geo escenarios y accesibilidad.

Configuración Ejemplo: metsudep.toml

[tool.metsudep]
geo_profile = "eu-sovereign-strict"  # NIS2/ENS compliance
license_profile = "eu-compliant"

[accessibility]
disable-run = true  # Pausa para lectores de pantalla

[policies.vuln]
threshold_high = 0  # Bloquea CVSS >7

[geoblock.exceptions]
"numpy" = { country = "US", reason = "OSS auditado, licencia MIT" }

Uso: metsudep add requests --geo-prefer=EU → "Instalado (origen EU, compliant 100%)."

Roadmap Completo del Curso (12 + 1 Módulos)

Riesgos: Falsos positivos geo → Mitigados con excepciones. Alineación: ENS Alto (supply chain), NIS2 (terceros).

Entregable Final

Un repositorio open-source 100% funcional que incluye:
- Código completo y comentado.
- Documentación accesible y multilingüe.
- Configuración de políticas por defecto (metsudep.toml).
- Checklist de producción (seguridad + accesibilidad + calidad).
- Guía de contribución ética y accesible.

Fuentes Bibliográficas

1. Regulaciones UE y Españolas

1. NIS2 Directive (EU) 2022/2555: Securing supply chains in critical sectors. 🟡③🌐 .- EU Directive establishing a high common level of cybersecurity across the EU, focusing on risk management, incident reporting, and supply chain security for critical sectors.
2. DORA (EU) 2022/2554: OSS dependencies testing in finance. 🟡③🌐 .- Regulation on digital operational resilience for the financial sector, including requirements for ICT risk management, incident reporting, and testing of third-party dependencies like OSS.
3. ENS Alto (RD 311/2022): Risk management in supply chain for public sector. 🟡③🌐 .- Royal Decree regulating Spain's National Security Framework (ENS) at high level, detailing risk management measures for supply chains in public sector information systems.
4. LOMLOE y Real Decreto 1112/2018: Accesibilidad en entornos educativos públicos. 🟡③🌐 .- Organic Law modifying the education system (LOMLOE) and Royal Decree on web and mobile app accessibility, ensuring inclusive access in public educational environments.
5. Ley 39/2015 (España): Internacionalización y accesibilidad administrativa. 🟡③🌐 .- Law on the common administrative procedure, promoting internationalization through electronic administration and accessibility for citizens' interactions with public bodies.

2. Regulaciones US

1. ITAR/EAR: Export controls on software/tech data. 🟡③🌐 .- US regulations governing the export of defense articles, services, software, and technical data (ITAR via Dept. of State for military items) and dual-use commodities, software, and technology (EAR via Dept. of Commerce), including licensing requirements, deemed exports to foreign persons, and controls on encryption and information security.

3. SBOM Standards

1. CycloneDX 1.4: Geo metadata in supplier fields. 🟡③🌐 .- CycloneDX 1.4 JSON specification for software Bill of Materials (SBOM), detailing components, dependencies, licenses, and metadata; note: no geographic metadata is present in supplier fields.
2. SPDX 2.3: License/compliance focus. 🟡③🌐 .- SPDX 2.3 specification providing a data exchange format for software packages, emphasizing license compliance analysis through identification of versions, licenses, and verification processes.

4. Accesibilidad y Ética

1. WCAG 2.1: Guidelines for web content accessibility. 🟡③🌐 .- Web Content Accessibility Guidelines (WCAG) 2.1, a W3C Recommendation extending WCAG 2.0, providing recommendations for making web content more accessible to people with disabilities, including success criteria at levels A, AA, and AAA.
2. RGPD (EU) 2016/679: Data protection and privacy. 🟡③🌐 .- Regulation (EU) 2016/679 (General Data Protection Regulation - GDPR) on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, repealing Directive 95/46/EC.

5. Reportes Geopolíticos 2025

1. Everstream Analytics 2025 Risk Report: Geo instability top threat. 🟡③🌐 .- Everstream Analytics' 2025 Annual Risk Report identifies the top five supply chain risks for 2025 with assigned scores: climate change/extreme weather (90%), geopolitical instability (80%), cybercrime (75%), rare metals and minerals shortages (65%), and forced labor crackdowns (60%), emphasizing geopolitical instability as a major threat due to political upheaval, conflicts, and tariff risks impacting sourcing, manufacturing, and logistics.
2. WEF Global Risks 2025: Supply chain vulnerabilities. 🟡③🌐 .- World Economic Forum's Global Risks Report 2025, based on the Global Risks Perception Survey 2024-2025 from over 900 experts, highlights an increasingly fractured global landscape with top immediate risks including state-based armed conflict (geopolitical), extreme weather events (environmental), and societal polarization, alongside long-term concerns like biodiversity loss and critical infrastructure disruptions, all posing significant vulnerabilities to global supply chains through instability, resource scarcity, and economic fragmentation.

6. Referencias Técnicas que Apoyan el Proyecto

1. Real Python – Dependency Management with Python Poetry: Tutorial que valida Poetry como backend robusto para wrappers personalizados, destacando su resolver de dependencias y soporte para pyproject.toml. 🟡③🌐 .- Tutorial on Python Poetry for dependency management, validating it as a robust backend for custom wrappers through automatic virtual environment handling and conflict resolution; highlights its dependency resolver for satisfying constraints and transitive dependencies, and support for pyproject.toml including metadata, version constraints, groups, and extras for reproducible environments.
2. CycloneDX – Especificación oficial SBOM: Herramienta open-source para generar SBOM en formato CycloneDX desde proyectos Python, confirmando la viabilidad de integración automática para cumplimiento normativo. 🟡③🌐 .- Official CycloneDX SBOM specification, an open-source standard for representing supply chain components, dependencies, and vulnerabilities; supports generating SBOMs from Python projects in JSON, XML, and Protocol Buffers formats, with features like dependency graphs, provenance, and extensibility enabling automatic integration for regulatory compliance through machine-readable schemas and attestation support.

7. Referencias que Matizan o Cuestionan el Enfoque

1. Chris Warrick – How to Improve Python Packaging (2023): Crítica constructiva al exceso de herramientas y wrappers. Análisis que critica la proliferación de herramientas como Poetry por no adherirse completamente a estándares PEP, sugiriendo que wrappers éticos añaden complejidad innecesaria al ecosistema. 🟡③🌐 .- Constructive critique of excessive Python packaging tools and wrappers, analyzing the proliferation of tools like Poetry for not fully adhering to PEP standards (e.g., using custom metadata instead of PEP 621 and non-standard dependency markers), suggesting that such wrappers add unnecessary complexity to the ecosystem; proposes unifying tools under PyPA for a single comprehensive solution, emphasizing standards like PEP 517 and PEP 582 to simplify workflows and reduce fragmentation.

Conclusión: MetsuDepManager no pretende ser la herramienta que todo el mundo use a diario. Pretende ser la herramienta que sí o sí necesitas cuando ética, seguridad, cumplimiento normativo y accesibilidad universal no son negociables. Y el curso te lleva de la mano, paso a paso, para que seas capaz de crearla, entenderla y –si quieres– mejorarla o adaptarla a tu propia organización.

One More Thing

¡Desbloquea el poder de MetsuOS y descubre que la privacidad y la seguridad son la clave para desencadenar tu verdadero potencial en línea!

Contenido registrado en Safe Creative

¡Usa el código de promocional 7ZYM4Z y ahorrate unos eurillos en tu suscripcion de Safe Creative!

MetsuOS Needs You!

Apoyanos en este proyecto difundiendolo en tus redes, o mejor, haznos una donación a la cuenta paypal para poder dedicar más tiempo y recursos a el. No olvides comentarnos que parete te interesa más junto con tu donación.

En este momento, además de mantener los servicios, estoy centrado en crear la siguiente iteración del software que me permite hacer todo esto y creando una biblioteca personal física para poder contrastar contenido.

Sobre el sistema de validez de un contenido en MetsuOS

Empezando a incorporar los niveles de validación de un contenido (también llamada sabiduría o niveles de conocimiento) ⚫🔴 🟡 🟢 🔵⚪ ¿Qué són?

• ⚫① - Dark1 - Conocimiento en Bruto. Modo Cuñao, hablo pero no puedo respaldarlo.
• 🔴② - Rojo2 - Conocimiento Impulsivo, pasional, "lo mio es lo correcto".
• 🟡③ - Yellow3 - Conocimiento Crítico: se comienza a explorar el hecho de que pueda haber otras perspectivas.
• 🟢④ - Green4 - Conocimiento Natural: Surge al comprender la naturaleza de la realidad y del ser humano en una materia.
• 🔵⑤ - Blue5 - Conocimiento Científico: Supone la suma de las fases anteriores aplicando el rigor de lo descubierto por la ciencia hasta ahora, sin caer en la -anticientífica- "opinión científica/opinión de expertos".
• ⚪⑥ - Light6 Conocimiento Consolidado: Se alcanza al integrar todo lo anterior desde una perspectiva empática y asumiendo una verdad probabilística dinámica dependiente del contexto.

Sobre la categorización de los tipos de conocimiento

• Conocimiento Gnoseológico: ⚫① 🔴② 🟡③ 🟢④
• Conocimiento Epistemológico: 🔵⑤
• Conocimiento Metsukeológico: ⚪⑥

La Metsukeología (de Metsuke vision global y logos conocimiento) es la ciencia que estudia el conocimiento como un conjunto potencial de conocimiento del que podemos obtener, procesar o percibir partes concretas dentro de un marco contextual específico, y cuyo contexto general real está muy por encima de lo que somos capaces, como especie, de percibir, procesar e integrar de forma completa (definición en progreso).

La Metsucología (de Metsu aniquilación - en este contexto en forma de colapso - , logos conocimiento) es la ciencia que estudia como extraemos verdades percibidas - colapsadas - como conocimiento desde nuestra perspectiva real (tanto epistemológico como gnoseológico) al tomar una parte específica del conocimiento metsukeológico potencial enmarcado en un contexto concreto, obligando a colapsar el conocimiento potencial en conocimiento específico (definición en progreso).

Mas sobre el contexto

DISCLAIMER: Mi consideración de anticientífico respecto al consenso científico es una hipotesis de trabajo propia, que supone que toda asignación de validez, incluso aquella derivada de la conclusión por acumulación de evidencia NO debe ser supeditada a debate, ni acuerdo, debe ser algo probabilistico sin intervención del ego humano. Podría estar equivocado y, en este punto, es donde se aplicaría entonces ese mismo consenso que ahora considero no valido (incluso dañino)

Existen indicadores para algunas cuestiones adicoinales como los siguientes:

• 🌐 - Contenido Externo sobre cuya validez/validación no tenemos control (usualmente enlaces que salen de #MetsuOS)
• ⚖️ - Analisis
  • ⚖️📚 - Análisis Bibligráfico
  • ⚖️🔬 - Análisis Científico
  • ⚖️🏛️ - Análisis Estructural
  • ⚖️🧠 - Análisis Filosófico
• 📖 - Referencia
  • 📖📚 - Referencia Bibliográfica / Libro
  • 📖🔬- Referencia Científica / Paper
  • 📖🏛️ - Referencia Estructural
  • 📖🧠 - Referencia Filosófica
• 🔍️- Paradigma

Cuando hablamos de un contenido que incluye un texto que hace referencia a otro.

• 🔴②-🌐🟡③ - Nivel del contenido del documento Rojo2, nivel del contenido externo del que habla el documento Yellow3.
• 🔴②-⚖️📚 🔴② - Nivel del contenido del documento Rojo2, en base a análisis bibliográfico nivel Rojo2

También aplicaremos el Sistema de fiabilidad de fuentes y credibilidad de contenidos de la OTAN 🔴②, este sistema incluye una valoración de la fiabilidad de la fuente de A a F (siendo A la de mayor fiabilidad) y una varloración de credibilidad del contenido de 1 a 6 (siendo 1 la mayor credibilidad).

En MetsuOS la agregaremos al final uniendo amos valores como si fuera una coordenada. Por ejemplo: ⚫①-D4 o 🟡③-B2. Esto ayudarña a contextualizar la información sobre la solidez del conocimiento al que se hace referencia en cada momento.

Hay que tener en cuenta que, cuando hay elementos subjetivos o parcialmente subjetivos, el punto de referencia seré yo mismo. Quizá más adelante pueda objetivizar esto más (seria lo deseable), pero en tanto no tenga herramientas que me lo permitan, debo ceñirme al principio de honestidar intelectual, y esperar que mis sesgos dañen lo menos posible la información (en parte este es el nudo gordiano que pretendo resolver, y por ello es dificil resolverlo a priori).

Así de forma resumida, podríamos decir que esta definición es nivel 🔴② (Rojo2 xD) ¿Crees que me dejo algo? Si es así por favor ayudame a mejorarlo contactándome a través de X (Twitter) en mi cuenta, @metsuke 🌐

Consulta la versión completa de la descripcion en ⚫🔴🟡🟢🔵⚪ (🔴②) Un poco más de detalle

• Información IA: Generado asistido por IA (Grok-4, Raul Carrillo aka Metsuke). Supervisado por Humano.
• Ultima Modificación: 2025-12-05 01:06:56.507000+00:00
• Versión Documento: 0.2.5