npm Trusted Publishing intègre la gestion des dist-tags via OIDC

GitHub a étendu les fonctionnalités de la publication de confiance (trusted publishing) sur npm afin d'offrir aux mainteneurs la possibilité de gérer les dist-tags à l'aide d'identifiants OpenID Connect (OIDC) à durée de vie limitée. Ce système mis à jour évite d'avoir à stocker des jetons d'accès permanents pour modifier les pointeurs de version tels que latest, next ou beta.

Suppression des identifiants permanents dans les pipelines automatisés

Avant cette mise à jour, la publication de confiance prenait en charge la publication de paquets et les opérations d'évaluation (staging), mais n'incluait pas la gestion des dist-tags. Les mainteneurs de projets open source ayant adopté des workflows sans jetons devaient donc conserver des jetons d'accès granulaires traditionnels dans leurs processus d'intégration continue, uniquement pour gérer l'étiquetage après une publication ou lors d'un retour en arrière.

Grâce au support de ces opérations par des jetons OIDC temporaires, les mainteneurs peuvent désormais affranchir totalement leurs pipelines de publication automatisés du stockage d'anciens secrets, réduisant ainsi la surface d'attaque liée à la fuite ou au compromis de jetons d'accès.

Contrôle granulaire et compatibilité ascendante

Ce nouveau droit d'accès prend la forme d'une option explicite intitulée « Allow npm dist-tag » au sein de la configuration de publication de confiance du paquet. GitHub désactive ce paramètre par défaut, aussi bien pour les configurations existantes que pour les nouvelles, garantissant ainsi qu'aucun workflow ne bénéficie automatiquement d'autorisations élevées.

La permission liée aux dist-tags fonctionne indépendamment des paramètres de publication directe de paquets, ce qui permet si besoin d'attribuer des droits de gestion des étiquettes à des configurations réservées au staging. Un jeton OIDC entrant autorise la modification d'un dist-tag s'il correspond à une configuration active dans laquelle l'option est activée. En parallèle, les workflows existants reposant sur des jetons d'accès classiques continuent de fonctionner sans interruption.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Opt-in dist-tag permissions for npm trusted publishing