npm publicación escalonada: seguridad tras tokens clásicos

Contexto: De los tokens clásicos a la seguridad actual en npm

La revocación definitiva de los tokens clásicos en npm se consolidó el 9 de diciembre de 2025. Estos tokens, que permitían autenticación persistente en pipelines CI/CD, quedaron inactivos debido a múltiples ataques a la cadena de suministro, como el de Shai-Hulud, exponiendo riesgos críticos. Como resultado, muchos pipelines fallaron con errores de autenticación y los equipos se vieron obligados a migrar rápidamente.

¿Qué implica la publicación escalonada (staged publishing) en npm?

npm ha anunciado la futura incorporación de staged publishing: una capa adicional de revisión y validación antes de que un nuevo paquete se haga público. Este proceso, aún según detalles preliminares, busca reducir el riesgo de que paquetes maliciosos lleguen a la comunidad introduciendo fases o pre-lanzamientos verificables, mejorando la seguridad en desarrollo y brindando mayor control a equipos sobre sus despliegues.

Alternativas a los tokens clásicos: GATs y OIDC

Actualmente, npm recomienda utilizar dos mecanismos principales para la automatización en CI/CD:

• Tokens de acceso granular (GATs): autenticación con vencimiento (máx. 90 días tras el 3/2/2026), gestión vía CLI y panel web. Se pueden usar en automatizaciones, siempre auditando su vigencia.
• OIDC Trusted Publishing: publicación sin tokens, usando credenciales efímeras generadas por CI (como GitHub Actions), aportando mayor trazabilidad y reducción de riesgos, aunque con algunas limitaciones aún señaladas por la comunidad OpenJS.

Recomendaciones prácticas para founders y equipos tech

• Revoca todos los tokens clásicos; si usas CI, migra a GATs o idealmente, a OIDC.
• Actualiza scripts y workflows a los últimos estándares y automatiza renovaciones periódicas.
• Habilita 2FA para todos los usuarios y limita permisos al mínimo requerido.
• Supervisa que los pipelines publiquen solo tras validaciones de calidad y pruebas exitosas.

Para quienes manejan dependencias o publican paquetes en npm, la transición a estos esquemas es crítica para mantener la seguridad y continuidad operacional.

Conclusión

La publicación escalonada en npm representa una reacción tangible a los retos modernos en seguridad de la cadena de suministro software. Migrar a modelos más seguros, como OIDC, y ajustar los procesos de publicación, es imperativo para cualquier startup tecnológica con infraestructura automatizada.

Fuentes

1. https://socket.dev/blog/npm-to-implement-staged-publishing (fuente original)
2. https://news.ycombinator.com/item?id=46530448 (fuente adicional)
3. https://github.blog/changelog/2025-12-09-npm-classic-tokens-revoked-session-based-auth-and-cli-token-management-now-available/ (fuente adicional)
4. https://www.infoworld.com/article/4104520/did-your-npm-pipeline-break-today-check-your-classic-tokens.html (fuente adicional)
5. https://socket.dev/blog/npm-revokes-classic-tokens (fuente adicional)
6. https://dev.to/mir_mursalin_ankur/publishing-your-first-npm-package-a-real-world-guide-that-actually-helps-4l4 (fuente adicional)
7. https://github.com/orgs/community/discussions/179562 (fuente adicional)
8. https://thehackernews.com/2025/09/github-mandates-2fa-and-short-lived.html (fuente adicional)

Artículos relacionados:

Malware en npm roba mensajes de WhatsApp: impacto y prevención Ataque npm en GitHub: claves de seguridad para startups tech Ser emprendedor: 3 historias reales que te harán explotar la mente Campaña Shai-Hulud: 300+ paquetes NPM infectados (2025) Cómo los Tokens de Utilidad Están Moldeando el Futuro de los Salarios en Startups