· adswds-team · セキュリティ · 2 min read
npm 信頼公開の48時間ルール：スラッグ再利用の後に CI が変えること
藍点網：GitHub が npm Trusted Publishing に48時間内初回成功公開を要求し、リポジトリ名再利用リスクを遮断。issue_comment トークンも拒否。広告 LP の CI を締めよ。
藍点網の報道（2026-10-14）によると、GitHub は npm Trusted Publishing を変更：新規設定は 48時間以内に初回成功公開しなければ失効する。狙いはリポジトリ名再利用——改名・移管・削除後に旧 owner/repo が空き、同名リポジトリ＋一致ワークフローで他人のパッケージへ公開権を得うる窓を閉じる。あわせて GitHub Actions の issue_comment 由来トークンを拒否する。
一言で：OIDC で長期トークンを廃しても、「使わない信頼設定を無限にぶら下げる」ことは許されない。
CI チェックリスト
- Trusted Publishing 利用パッケージを棚卸し；
- 設定作成後 48h 内に実公開；
- トリガから
issue_comment等を排除； - 改名/移管前に trust を作り直す；
- 同日の Docker Hub 組織移行 PAT 問題 も「公開身元のライフサイクル」として併読。
入口の流入フィルタは、自分の CI が流した汚いビルドまでは止められない。
