「npm」の記事
npm のセキュリティ・アクセストークン・公開フローの変更について、公式発表からの出典つきで解説します。パッケージ公開の自動化とセキュリティ強化の両立に関心がある開発者に役立つ情報を掲載します。
関連タグ
GitHub package firewall（パッケージファイアウォール）とは？対象・仕様・有効化方法を一次情報で解説（2026年10月20日）
GitHub は 2026年10月20日、パッケージのダウンロードを検査しブロックできる「GitHub package firewall（パッケージファイアウォール）」の公開プレビューを発表。GitHub Enterprise Cloud 向けで、プレビュー期間中は無料。既知マルウェア・脆弱性・インストールスクリプトなど 5 項目のチェックをポリシーで設定でき、現時点で対応するのは npm。有効化手順と例外申請の流れを一次情報で解説します。
npm stage publishで新規パッケージが作れるように？初回公開の手順と承認フローを一次情報で解説（2026年10月2日発表）
GitHub が npm staged publishing を拡張し、npm stage publish で新しいパッケージを直接作成できるようになりました。2026年9月18日の発表時点では初回公開は対象外でした。新規作成の手順、0.0.0-stage プレースホルダーの挙動、承認（approve）までの流れを一次情報で整理します。
npm trusted publishingの未検証設定は48時間で失効？再作成手順とissue_comment禁止の対応を一次情報で解説（2026年10月2日発表）
GitHub が npm の信頼済みパブリッシング（trusted publishing）で、検証されていない設定を作成から48時間で失効させる仕様に変更しました。失効した設定の再作成手順、issue_comment イベント禁止への対応、設定数上限の扱いを一次情報で整理します。
stage-only npm トークンとは？作り方・npm stage publish の使い方・2027年1月の2FAバイパス廃止への備えを一次情報で解説（2026年9月18日）
GitHub が npm の granular access token に新しい「Read and write (stage only)」権限を追加しました。CI からはステージまで、公開はメンテナーが2FAで承認する流れが作れます。作り方・必要な環境・2027年1月の2FAバイパストークン廃止計画への備えを一次情報で整理します。