> ## Documentation Index
> Fetch the complete documentation index at: https://docs.basaltic.sh/llms.txt
> Use this file to discover all available pages before exploring further.

# Cifrado de Registry

> Controle la clave usada en capas nuevas sin cambiar las referencias de imágenes existentes.

Las capas se cifran en reposo. De forma predeterminada se usa una clave administrada por la plataforma. Puede seleccionar una clave KMS simétrica habilitada en la misma cuenta y región. La configuración es por cuenta porque los repositorios comparten capas deduplicadas.

Consulte `GET /v1/encryption-configuration`. Las configuraciones administradas por el cliente devuelven `encryption_type: kms` y `kms_key` como referencia con ID, CRN y nombre. Una clave eliminada conserva ID y CRN, sin nombre; la vinculación nunca cambia silenciosamente al cifrado de la plataforma.

Sustituya la configuración con `PUT /v1/encryption-configuration`:

```json theme={null}
{"encryption_type":"kms","kms_key":"registry-key"}
```

`kms_key` acepta UUID, nombre en la cuenta o CRN. El servicio comprueba que la clave pueda proteger una clave de capa antes de guardar. Para cifrado de la plataforma, use `{"encryption_type":"platform_managed"}` y omita `kms_key`.

El cambio afecta a las capas nuevas almacenadas. Las capas existentes conservan la clave original, incluso al reutilizarse por deduplicación en otro push. Mantenga disponibles las claves antiguas mientras sus capas sean necesarias. Desactivar o eliminar una clave antigua puede volver ilegibles esas imágenes.

Eliminar la configuración exige que la cuenta no tenga datos retenidos en Registry. Consulte `/v1/encryption-configuration/retained-data` al desactivar el almacenamiento. Los cambios exigen `registry:PutEncryptionConfiguration`; las lecturas exigen `registry:GetEncryptionConfiguration`.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.