В npm ввели 48-часовой срок для неподтверждённых настроек доверенной публикации

GitHub ограничила срок действия настроек доверенной публикации npm, которые ещё не использовались для выпуска пакета. В сообщении от 2 октября компания объясняет, что такие конфигурации перестают разрешать публикацию через 48 часов после создания. Мера уменьшает риск, связанный со сменой владельца репозитория или проекта.

После первой успешной публикации настройка считается подтверждённой и больше не истекает по этому правилу. Смена репозитория или идентификатора проекта требует новой привязки с новым 48-часовым сроком. Истёкшую конфигурацию можно создать заново, другие действующие настройки пакета сохраняются.

Технический директор GitFlic Максим Козлов в комментарии для прессы считает, что компаниям также нужен контроль внешних зависимостей при сборке. Он рекомендует использовать локальный реестр пакетов, правила их приёма и регулярную проверку состава ПО. Это рекомендации представителя разработчика, а не требование npm.