Shelly 3.1 ya está disponible como una nueva versión del gestor de paquetes para distribuciones basadas en Arch Linux, con especial protagonismo en CachyOS. El proyecto, que busca ofrecer una alternativa moderna a herramientas tradicionales como pacman y Octopi, incorpora en esta actualización una función especialmente interesante para usuarios avanzados: la posibilidad de construir paquetes de Arch Linux directamente desde el propio gestor.

La evolución de Shelly resulta especialmente relevante para CachyOS, donde se ha convertido en el gestor gráfico de paquetes predeterminado en sustitución de Octopi. Su planteamiento va más allá de proporcionar una simple interfaz gráfica para instalar programas, ya que permite trabajar con los repositorios oficiales, AUR, paquetes locales, Flatpaks y AppImages desde una misma aplicación. Con la versión 3.1, el proyecto amplía todavía más ese enfoque al incorporar herramientas para la creación y revisión de paquetes.

Shelly 3.1 permite construir paquetes de Arch Linux

La principal novedad de Shelly 3.1 es la incorporación del comando shelly build, que permite construir paquetes compatibles con Arch Linux directamente desde la herramienta. El sistema no actúa simplemente como una interfaz gráfica para makepkg, sino que integra esta capacidad dentro de su propia biblioteca nativa de gestión de paquetes.

Los paquetes generados utilizan un formato compatible con makepkg y producen archivos que pueden ser instalados posteriormente mediante pacman y otras herramientas del ecosistema Arch. Esto convierte a Shelly en algo más que un gestor destinado exclusivamente a consumir paquetes ya preparados.

La nueva función resulta especialmente interesante para desarrolladores, mantenedores del AUR y usuarios que acostumbran a modificar o crear sus propios PKGBUILD. En lugar de depender obligatoriamente de las herramientas tradicionales para realizar todo el proceso, ahora pueden utilizar la infraestructura integrada en el propio proyecto.

El proceso de construcción incorpora comprobaciones de seguridad

Una de las características más interesantes de esta nueva función es que Shelly no se limita a lanzar una compilación y esperar a que termine. Antes de construir un paquete, puede analizar diferentes elementos que forman parte del proceso de creación.

Entre ellos se encuentran el PKGBUILD completo, los archivos de código fuente locales, los scripts de instalación y los registros de cambios. También puede detectar determinados indicadores que podrían resultar sospechosos durante una construcción.

La herramienta busca, por ejemplo, archivos binarios incluidos en las fuentes, comandos potencialmente peligrosos ejecutados después de la instalación, referencias inseguras a archivos locales y determinadas sustituciones de comandos de nivel superior que pueden ejecutarse durante el proceso.

Shelly 3.1 también detecta posibles engaños en los nombres

La seguridad no se limita a comprobar comandos que puedan ejecutarse durante la compilación. Shelly 3.1 incorpora también comprobaciones destinadas a detectar determinados casos de homoglifos y caracteres visualmente similares.

Este tipo de técnica puede utilizarse para hacer que un nombre parezca legítimo cuando en realidad contiene caracteres diferentes. En el contexto de los paquetes de Arch Linux, detectar este tipo de anomalías puede ayudar a reducir el riesgo de que un usuario confunda un paquete con otro por una diferencia difícil de apreciar visualmente.

La incorporación de estas comprobaciones cobra todavía más sentido en un ecosistema como el AUR, donde los paquetes son mantenidos por la comunidad y los PKGBUILD pueden ejecutar acciones durante la construcción o instalación. El objetivo no es convertir Shelly en una garantía absoluta de seguridad, sino proporcionar al usuario más información antes de ejecutar código procedente de fuentes que debe revisar.

Repositorios, AUR, Flatpak y AppImage desde una misma interfaz

El gestor permite instalar y eliminar paquetes procedentes de los repositorios oficiales y del AUR, además de proporcionar soporte para otros formatos como Flatpak y AppImage. También puede trabajar con paquetes locales, lo que facilita utilizar archivos que el usuario ya tenga almacenados en su equipo.

Esta integración es especialmente interesante para quienes llegan a Arch Linux o a una distribución derivada desde otros sistemas operativos. En lugar de tener que aprender inmediatamente diferentes herramientas para cada fuente de software, Shelly proporciona una interfaz gráfica unificada.

Los usuarios avanzados siguen teniendo a su disposición pacman y las herramientas tradicionales, por supuesto. La intención de Shelly no es eliminar la línea de comandos, sino proporcionar una alternativa gráfica moderna que permita realizar buena parte de las tareas habituales sin abrir un terminal.

La seguridad del AUR cobra especial importancia

La nueva capacidad de analizar PKGBUILD resulta particularmente relevante teniendo en cuenta los problemas de seguridad que pueden afectar al AUR. A diferencia de los repositorios oficiales de Arch Linux, los paquetes del AUR son mantenidos por usuarios de la comunidad y sus recetas de construcción deben tratarse con precaución.

Un PKGBUILD no es simplemente una lista de archivos que descargar. Puede contener instrucciones capaces de ejecutar comandos durante diferentes fases del proceso de construcción e instalación. Por eso, revisar su contenido antes de ejecutarlo constituye una medida de seguridad importante.

Shelly 3.1 intenta facilitar precisamente esa revisión mediante comprobaciones automáticas. Las advertencias no sustituyen el análisis humano ni garantizan que un paquete sea seguro, pero pueden llamar la atención sobre comportamientos que merecen ser examinados antes de continuar.

Shelly 3.1 refuerza su posición en CachyOS y Arch Linux

Con la versión 3.1, Shelly da un paso más para convertirse en una herramienta integral de administración de software para Arch Linux. La posibilidad de construir paquetes compatibles con pacman desde su propia infraestructura, junto con las nuevas comprobaciones de seguridad, amplía notablemente sus capacidades.

El proyecto ya contaba con soporte para repositorios oficiales, AUR, Flatpak, AppImage y paquetes locales, y además permite consultar información de los paquetes y gestionar grupos. Ahora añade una función que tradicionalmente estaba reservada a herramientas de línea de comandos y procesos más manuales.

Para los usuarios de CachyOS, donde Shelly ya ocupa el lugar de gestor gráfico predeterminado, la actualización supone una evolución especialmente significativa. Para el resto de usuarios de distribuciones basadas en Arch, representa otra alternativa moderna para gestionar software sin renunciar a las posibilidades del ecosistema de paquetes de Arch Linux.

Artículo original