GitHub aggiunge ai token granulari npm l'opzione Read and write (stage only), che consente di preparare una versione senza pubblicarla direttamente nel registry.

La separazione tra staging e pubblicazione riduce il rischio che un workflow automatizzato immetta direttamente una versione npm senza una revisione umana.

Verificare i requisiti del proprio account e aggiornare i workflow compatibili con npm stage publish prima della scadenza indicata da GitHub.

npm applica a tutti gli account un blocco di sicurezza di 72 ore dopo un accesso effettuato con un codice di recupero.

Un accesso di recupero puo impedire per tre giorni le pubblicazioni npm, quindi le procedure di emergenza devono prevedere una finestra operativa alternativa.

Documentare il blocco nel runbook npm e verificare in anticipo i metodi di accesso e recupero degli account di pubblicazione.