L'attaque de septembre sur npm a montré que l'écosystème JavaScript est vulnérable. Les pirates ciblent de plus en plus les paquets populaires, car ils peuvent être utilisés pour « pénétrer » dans des milliers de projets. GitHub, en tant que propriétaire de npm, n'a pas attendu la prochaine crise et a introduit de nouveaux mécanismes de défense.
Les plus notables d'entre eux sont trusted publishing et des contrôles avancés lors de la publication des paquets.
Qu'est-ce que la publication de confiance ?
Trusted publishing est un nouveau modèle de publication de paquets dans npm qui élimine le besoin de stocker et d'utiliser des jetons secrets. Au lieu de cela, vous pouvez désormais publier des paquets directement en faisant confiance à GitHub Actions ou à un autre fournisseur CI/CD.
Pas de jetons, rien à fuir.
Lier la publication au dépôt, et donc à un code spécifique.
Configuration simple : GitHub confirme la paternité et « approuve » le paquet.
Nouvelles vérifications lors de la publication
Vérification du propriétaire du paquet — la publication n'est possible que par des participants confirmés.
Vérification du code source — la relation entre les sources et le paquet devient plus transparente.
Journalisation et audit — il est désormais plus facile de savoir qui a lancé la publication et quel code a été utilisé.
Pourquoi est-ce important pour tout le monde ?
Il peut sembler que les changements ne concernent que les mainteneurs de grandes bibliothèques, mais ce n'est pas le cas.
Pour les développeurs d'applications: moins de chances d'obtenir un paquet infecté.
Pour les auteurs de bibliothèques: pas besoin de stocker des jetons qui peuvent être volés.
Pour les entreprises: un processus d'audit transparent et une plus grande confiance dans la sécurité de la chaîne d'approvisionnement.
Comparaison de l'ancien et du nouveau processus de publication npm
Étape | Précédemment (avant la publication de confiance) | Maintenant (avec trusted publishing) |
|---|---|---|
Authentification | Jetons secrets npm, stockage manuel ou en CI. | Les jetons ne sont pas nécessaires : GitHub Actions confirme la paternité. |
Sécurité | Risque élevé de fuite de jeton. | Pas de jetons, rien à fuir, la publication est liée au code. |
Transparence | Il est difficile de lier la version au code. | Vérification automatique : le paquet est lié aux sources. |
Audit | Vérifications manuelles. | Journaux de publication détaillés. |
Configuration | Création et stockage manuels de jetons. | Configuration unique de la publication de confiance. |
Schéma du processus de publication avec trusted publishing
flowchart TD
A[Разработчик пушит код в GitHub] --> B[Запуск GitHub Actions workflow]
B --> C[Сборка и тесты проекта]
C --> D[GitHub подтверждает авторство и репозиторий]
D --> E[Trusted Publishing: передача данных в npm]
E --> F[npm получает пакет]
F --> G[Верификация пакета и исходников]
G --> H[Успешная публикация в npm Registry]
Ce que les développeurs doivent faire dès maintenant
Vérifiez le dépôt sur GitHub et l'accès aux paramètres.
Activez GitHub Actions, si vous n'utilisez pas encore CI/CD.
Configurez la publication de confiance dans npm: associez le paquet au dépôt.
Supprimez les anciens jetonspour réduire le risque de fuite.
Mettre à jour la documentation, en indiquant que la publication passe par trusted publishing.
GitHub fait un pas dans la bonne direction : les vulnérabilités de l'écosystème ne peuvent pas être résolues uniquement par la « discipline manuelle » des développeurs. Une protection automatique et intégrée est nécessaire. La publication de confiance et les nouvelles vérifications ne sont pas seulement une commodité, mais un changement fondamental vers un écosystème sûr et fiable.
Code aide les développeurs débutants et expérimentés à comprendre les outils modernes et à travailler en toute sécurité.
Abonnez-vous à notre blog et Chaîne Telegrampour être au courant des nouvelles technologies.