Короткий ответ
Изменение npm от 30 сентября позволяет доверенному процессу менять теги релизов с краткоживущими учётными данными. Это убирает одну причину хранить постоянный токен, сохраняя отдельный контроль полномочий.
Небольшой шаг релиза требовал постоянного секрета
GitHub объявил новые права npm dist-tag 30 сентября 2026 года. Доверенная публикация теперь охватывает действие, которое может происходить уже после загрузки пакета: изменение тегов распространения через краткоживущие учётные данные OpenID Connect. Для сопровождающих, хранивших постоянный токен только ради продвижения или отката версии, исчезает конкретное препятствие к сокращению числа секретов в автоматизации.
Процесс выпуска не заканчивается созданием архива. Он также определяет, какую доступную версию получит пользователь при обращении к именованному каналу. Такое решение может приниматься после проверки, согласования или ограниченного запуска. Поэтому отдельное право на продвижение версии имеет большее значение, чем кажется по небольшому переключателю в настройках.
Тег распространения указывает на выбранную версию
Справочник npm объясняет, что тег служит псевдонимом версии пакета. Обычная установка без указания версии или тега использует latest; проект может вести другие каналы, например beta или next. Перемещение указателя меняет версию, которую получит следующий запрос к этому каналу. Повторно публиковать архив для каждого такого изменения не требуется.
Представим выпуск, уже проверенный в предварительном канале. Продвижение может означать переключение стабильного канала на этот пакет, а откат — на более ранний. Это поясняющий пример редакции, не описание реального инцидента. Он показывает, почему изменение тегов требует внимания даже тогда, когда процессу запрещено напрямую загружать новый пакет.
Новое полномочие нужно включать отдельно
Параметр Allow npm dist-tag изначально отключён и в существующих, и в новых конфигурациях доверенной публикации. Право прямой публикации его не включает. Процесс, ограниченный подготовкой пакета, может получить управление тегами отдельно. Прежние операции через токены продолжают работать, поэтому объявление предлагает путь миграции, а не устанавливает срок немедленного отключения старой схемы.
По сообщению GitHub, операция разрешена, если входящая идентичность OIDC соответствует хотя бы одной конфигурации с нужным правом. Практический вывод — рассматривать все связанные конфигурации вместе. Более строгое правило в одном месте не отменяет широкого разрешения в другом. Проверять следует именно право решать, какая версия становится доступной через конкретный канал.
Идентичность процесса не заменяет управление доступом
Спецификация доверенных издателей OpenSSF описывает общий принцип: репозиторий принимает заранее настроенную идентичность задания вместо постоянного секрета сопровождающего. Связь доверия устанавливается между реестром пакетов и системой автоматизации. Сокращается необходимость распространять и менять долгоживущие учётные данные, но растёт значение того, какой именно процесс получает полномочия.
По оценке редакции, удаление токена упрощает одну часть проверки релиза, но не завершает её. Процесс, способный передвинуть стабильный тег, всё ещё принимает важное решение. Команда должна понимать, кто меняет его код, какие согласования защищают продвижение и как исправляется ошибочный указатель. Срок жизни секрета и разрешение на выпуск — связанные, но разные вопросы.
Миграцию проверяют на нужной операции
Документация npm требует для этой функции CLI версии от 11.21.0 в ветке 11 либо от 12.2.0 в ветке 12. Там же отдельно указано, что npm whoami не проверяет права доверенной публикации. Подтверждением служит выполнение предусмотренной операции, а успешная аутентификация в другой команде не доказывает правильность доступа к тегам.
При контролируемом переходе полезно записать целевую версию, выполнить разрешённое изменение и проверить итоговый указатель. Чтение тегов закрытого пакета тоже требует соответствующего права. При этом установка закрытых зависимостей может по-прежнему нуждаться в токене только для чтения. Значит, удалению старого секрета должен предшествовать разбор всех его реальных применений.
Более точные права делают выпуск понятнее
В таблице разделены подготовка пакета, прямая публикация и управление тегами: общее выражение доступ к релизу скрывает важные различия. Одной автоматизации можно поручить подготовить артефакт, другой — управляемое продвижение версии. Это решения команды о процессе работы; новый переключатель не определяет внутреннюю политику согласования вместо организации.
Главный практический вопрос теперь формулируется точнее: какая идентичность может переместить указатель канала и как проверить результат? Объявление не доказывает неуязвимость проекта к атакам на цепочку поставки ПО. Оно позволяет отказаться от одного постоянного секрета, сохранив обычную и важную операцию управления выпусками.
| Операция | Правило доступа | Что проверить |
|---|---|---|
| Подготовить пакет | Доступно настроенному доверенному процессу | Подготовка не означает согласование релиза |
| Публиковать напрямую | Отдельное разрешённое действие | Только для назначенных процессов выпуска |
| Управлять dist-tag | Новое право, изначально выключено | Меняет указатели каналов, включая latest |
| Установить закрытые зависимости | Не относится к новой функции OIDC | Может требоваться токен чтения |
Вопросы и ответы
Доверенная публикация автоматически разрешает менять теги?
Нет. Сопровождающий должен включить Allow npm dist-tag для нужной конфигурации. Согласно объявлению, новая возможность по умолчанию отключена и для существующих, и для новых доверенных процессов.
Можно ли выдать право процессу только для подготовки пакета?
Да. Подготовка, прямая публикация и управление тегами имеют разные полномочия. Процессу можно разрешить менять dist-tag, не выдавая право на прямую операцию npm publish.
Можно ли сразу удалить все старые токены?
Сначала нужно проверить их назначения. Операции с тегами через токены продолжают работать, а установка закрытых зависимостей может требовать отдельного токена чтения. Удалять следует только учётные данные, все оставшиеся применения которых учтены.