I metadati del registro sono informazioni che un repository di pacchetti registra sui propri pacchetti, come identificatori, numeri di versione e orari di pubblicazione. I gestori di pacchetti usano questi dati per trovare le release e stabilire quali versioni soddisfano i requisiti di dipendenza di un progetto.
In ambito di sicurezza, i metadati possono supportare i controlli della catena di approvvigionamento senza esaminare il codice dei pacchetti. Per esempio, un gestore di pacchetti può usare gli orari di pubblicazione per ritardare l'adozione delle versioni appena rilasciate, dando ai manutentori il tempo di esaminare le modifiche sospette prima che vengano incluse nelle build automatizzate. I metadati non dimostrano che un pacchetto sia sicuro o autentico, quindi i team dovrebbero combinarli con controlli di provenienza, monitoraggio delle dipendenze e revisione dei file di lock.