> ## Documentation Index
> Fetch the complete documentation index at: https://docs.basaltic.sh/llms.txt
> Use this file to discover all available pages before exploring further.

# Criptografia do Registry

> Controle a chave usada em novas camadas sem alterar as referências das imagens existentes.

Camadas são criptografadas em repouso. O padrão usa uma chave gerenciada pela plataforma. Você pode selecionar uma chave KMS simétrica habilitada na mesma conta e região. A configuração é por conta porque os repositórios compartilham camadas deduplicadas.

Consulte `GET /v1/encryption-configuration`. Configurações gerenciadas pelo cliente retornam `encryption_type: kms` e `kms_key` como referência com ID, CRN e nome. Uma chave excluída mantém ID e CRN, sem nome; a vinculação nunca muda silenciosamente para criptografia da plataforma.

Substitua a configuração com `PUT /v1/encryption-configuration`:

```json theme={null}
{"encryption_type":"kms","kms_key":"registry-key"}
```

`kms_key` aceita UUID, nome na conta ou CRN. O serviço verifica se a chave consegue proteger uma chave de camada antes de salvar. Para criptografia da plataforma, use `{"encryption_type":"platform_managed"}` e omita `kms_key`.

A alteração afeta novas camadas armazenadas. Camadas existentes mantêm a chave original, inclusive quando reutilizadas por deduplicação em outro push. Mantenha as chaves antigas disponíveis enquanto suas camadas forem necessárias. Desativar ou excluir uma chave antiga pode tornar essas imagens ilegíveis.

Excluir a configuração exige que a conta não tenha dados retidos no Registry. Consulte `/v1/encryption-configuration/retained-data` ao desativar o armazenamento. Alterações exigem `registry:PutEncryptionConfiguration`; leituras exigem `registry:GetEncryptionConfiguration`.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.