chore(deps): unificar en yarn, el gestor que el repo declara #2

Merged

andres20980 merged 3 commits from session/20260727-0000-yarn into main

2026-07-26 18:54:43 +00:00

andres20980 commented

2026-07-26 18:54:19 +00:00

Owner

Validado por el gate no-mistakes. Regenerado yarn.lock: yarn install --immutable ya funciona.

andres20980 added 3 commits

2026-07-26 18:54:20 +00:00

chore(deps): unificar en yarn, el gestor que el repo declara b7348841aa

El repo declaraba 'packageManager: yarn@4.9.2' y tenía .yarnrc.yml y yarn.lock,
pero la CI instalaba y auditaba con npm y convivía un package-lock.json. Dos
lockfiles que divergen hacen el build irreproducible, y la auditoría corría
sobre un árbol distinto del que se instala.

Se unifica en yarn, que es lo que el propio repo declara y Corepack impone:

- Eliminado package-lock.json.
- supply-chain-watch.yml y el workflow de SLSA pasan a corepack + yarn install
  --immutable. La auditoría usa 'yarn npm audit --severity high --all'.
- 'npm pack' se sustituye por 'yarn pack --out package.tgz': el nombre pasa a
  ser determinista y desaparece el parseo de la salida del empaquetador.
- Retirado el bloque 'overrides' (sólo lo lee npm). Las fijaciones de seguridad
  quedan únicamente en 'resolutions', que es lo que yarn respeta: mantener dos
  mecanismos en paralelo ya provocó que uno se quedara obsoleto sin avisar.