Gestores de paquetes: npm, pnpm, Yarn y pip

Es un archivo JSON en la raíz del proyecto. Lo más importante que contiene son las dependencias, separadas en dos grupos: dependencies, lo que tu código necesita para funcionar (React, Express), y devDependencies, lo que solo usas mientras desarrollas (TypeScript, Vite, las herramientas de test).

La sección scripts guarda los comandos del proyecto con un nombre corto: pnpm dev, npm run build o npm test. Así nadie tiene que recordar las opciones de cada herramienta, y el CI ejecuta exactamente lo mismo que tú. El campo type: "module" le dice a Node que tus archivos .js usan import, y packageManager indica qué gestor y versión usa el proyecto.

El versionado semántico (semver) escribe las versiones como MAYOR.MENOR.PARCHE. Subir el parche (1.2.3 → 1.2.4) significa «corregí errores»; la menor (1.2.3 → 1.3.0), «añadí funciones sin romper nada»; la mayor (1.2.3 → 2.0.0), «hay cambios incompatibles, revisa tu código».

En package.json no sueles fijar una versión, sino un rango. ^1.2.3 (acento circunflejo, el que npm pone por defecto) acepta cualquier 1.x.x desde la 1.2.3; ~1.2.3 (virgulilla) solo parches de la 1.2; 1.2.3 a secas, exactamente esa. Con versiones 0.x el ^ es más estricto, porque antes de la 1.0 se considera que todo puede cambiar.

Un rango como ^1.2.3 puede resolverse en la 1.2.3 hoy y en la 1.9.0 dentro de un mes. El lockfile apunta la versión exacta que se instaló de cada paquete, incluidas las dependencias de tus dependencias, junto con una huella (hash) de su contenido para detectar si alguien lo ha manipulado.

Cada gestor tiene el suyo: package-lock.json (npm), pnpm-lock.yaml (pnpm) y yarn.lock (Yarn). Se sube a Git, y en el CI se instala con un comando que respeta el lockfile al pie de la letra y falla si no coincide con package.json: npm ci, pnpm install --frozen-lockfile o yarn install --immutable.

npm es dos cosas: el registro público (npmjs.com), donde se publican millones de paquetes, y la herramienta de línea de comandos que se instala junto con Node.js. Con npm install descarga las dependencias, con npm run ejecuta scripts y con npx lanza un paquete sin instalarlo de forma permanente.

Guarda los paquetes en una carpeta node_modules plana: sube al primer nivel también las dependencias de tus dependencias para no repetirlas. Es práctico, pero permite importar por error un paquete que no declaraste en package.json, lo que se llama una dependencia fantasma.

pnpm guarda cada versión de cada paquete una sola vez en un almacén global de tu equipo, organizado por el contenido de los archivos (un almacén «direccionable por contenido»). En el node_modules de cada proyecto no copia nada: crea enlaces a ese almacén. Veinte proyectos con React comparten la misma copia en disco.

Además, su node_modules es estricto: tu código solo puede importar lo que declaraste en package.json. Las dependencias fantasma dan error desde el primer día, en lugar de romperse por sorpresa más adelante. Trae los workspaces integrados, que verás en la lección de monorepos. Esta misma app usa pnpm.

Facebook presentó Yarn en 2016, junto con otras empresas, cuando npm era lento y no generaba un lockfile por defecto. Yarn trajo yarn.lock e instalaciones en paralelo, y npm acabó copiando esas ideas. Esa primera generación, Yarn 1, se conoce como Yarn Classic y hoy solo recibe mantenimiento.

Desde la versión 2, el Yarn moderno (apodado Berry) es casi otra herramienta. Su modo más llamativo es Plug'n'Play (PnP): no crea node_modules, sino un archivo .pnp.cjs que le dice a Node dónde está cada paquete, guardados como archivos comprimidos. Puedes incluso subir esa caché a Git y clonar el proyecto sin instalar nada («zero-installs»).

pip instala paquetes desde PyPI, el registro público de Python. A diferencia de npm, no crea una carpeta por proyecto: instala en el Python que estés usando. Por eso lo habitual es crear antes un entorno virtual (python -m venv .venv), una copia aislada de Python para cada proyecto, y activarlo antes de instalar.

Las dependencias se apuntan tradicionalmente en requirements.txt, una lista de paquetes con sus versiones. El estándar moderno es pyproject.toml, que describe el proyecto completo, como un package.json. pip no ha tenido tradicionalmente un lockfile como los de JavaScript: pip freeze es lo más parecido, y herramientas como Poetry o uv, un gestor muy rápido escrito en Rust, sí generan uno.