وقّع إصداراتك ليتحقق منها العملاء

هذه السنة نشر مهاجمون أكثر من مرة إصدارات خبيثة من حزم حقيقية، باستخدام رموز مسروقة. لم يكن لدى المستخدمين طريقة سهلة للتفريق بين الإصدار الحقيقي والمزيف، لأن كليهما جاء من الحساب الرسمي.

التوقيع وإثبات المصدر (provenance) يغيّران ذلك. الإصدار يقول أي مستودع وأي commit وأي workflow بناء أنتجه، وهذا التصريح موقّع فلا يمكن تزويره برمز نشر فقط.

• على npm وPyPI، انشر من CI بخاصية النشر الموثوق (trusted publishing)، باستخدام OIDC بدل الرموز طويلة العمر، وفعّل provenance.
• وقّع صور الحاويات والملفات التنفيذية عبر Sigstore أو خدمة التوقيع في منصتك.
• احذف رموز النشر القديمة بعد أن يعمل النشر الموثوق.
• احمِ workflow الإصدار نفسه: مراجعات إلزامية، وفروع محمية، ولا أسرار متاحة لطلبات الدمج القادمة من نسخ خارجية.

ومن جهة الاستخدام، ابدأ بالتحقق من مصدر أهم اعتمادياتك.