npm Trusted Publishing añade soporte para gestionar dist-tags mediante OIDC

GitHub ha ampliado las capacidades de la publicación de confianza (trusted publishing) en npm para permitir que los mantenedores gestionen las etiquetas de distribución (dist-tags) utilizando credenciales efímeras basadas en OpenID Connect (OIDC). Este sistema actualizado elimina la necesidad de almacenar tokens de acceso de larga duración para modificar punteros de versión como latest, next o beta.

Cerrando la brecha de tokens en los flujos automatizados

Antes de esta actualización, la publicación de confianza admitía operaciones de publicación de paquetes y entornos de pruebas (staging), pero no cubría la gestión de dist-tags. Los mantenedores de proyectos de código abierto que habían adoptado flujos de trabajo sin tokens se veían obligados a conservar tokens de acceso granulares tradicionales en sus entornos de integración continua únicamente para etiquetar tras un lanzamiento o gestionar reversiones a versiones anteriores (rollbacks).

Al permitir que los tokens OIDC de corta duración admitan ahora estas operaciones, los mantenedores pueden desacoplar por completo las canalizaciones de lanzamiento automatizadas del almacenamiento persistente de secretos. Esto reduce de forma directa la superficie de ataque asociada a la filtración o compromiso de credenciales.

Control granular y compatibilidad hacia atrás

El nuevo derecho de acceso funciona como una opción explícita (opt-in) bajo la etiqueta 'Allow npm dist-tag' dentro de la configuración de publicación de confianza de cada paquete. GitHub establece esta autorización deshabilitada por defecto tanto para las configuraciones ya existentes como para las creadas recientemente, garantizando que ningún flujo obtenga acceso elevado de forma automática.

El permiso de dist-tag opera de manera independiente de las opciones de publicación directa, lo que permite asignar permisos de etiquetado a entornos de pruebas según sea necesario. Un token OIDC entrante autorizará la modificación si coincide con cualquiera de las configuraciones activas que tengan habilitada esta opción. Mientras tanto, los flujos de trabajo heredados que dependen de tokens de acceso convencionales continúan funcionando sin interrupción.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Opt-in dist-tag permissions for npm trusted publishing