Novi token za npm smije da preda verziju, ali ne i da je objavi

Token koji smije da objavljuje u registru paketa npm je token koji smije da stavi kod na svaki računar koji taj paket instalira. Od 18. septembra 2026. token s ograničenim pristupom može da dobije i užu dozvolu, čitanje i upis samo do pripreme, koja automatizaciji dopušta jedino komandu npm stage publish. Verzija tada ide u prostor za pripremu i tamo čeka dok je održavalac ne odobri drugim faktorom.

Šta token za pripremu smije, a šta ne

Nova dozvola se bira pri pravljenju tokena i zove se čitanje i upis, ali samo do pripreme. Tok posla s takvim tokenom predaje izgrađen paket komandom npm stage publish, a dokumentacija navodi da ta komanda ne traži drugi faktor. Registar odbija npm publish s istog tokena, i odbija ga i kad je token podešen da za automatizaciju zaobiđe dvofaktorsku potvrdu. Baš to podešavanje i omogućava objavljivanje bez čovjeka.

Sužavanje nije potpuno. GitHub navodi da token za pripremu zadržava ostala prava upisa nad paketom, uključujući premještanje oznaka izdanja i označavanje verzije kao zastarjele. Oznaka izdanja odlučuje koju verziju komanda npm install podrazumijevano preuzima. Iz toga se može zaključiti da ukradeni token za pripremu i dalje dopire do korisnika, samo kroz verziju koja je već objavljena, a ne kroz novu.

• Priprema traži alat komandne linije npm 11.15.0 ili noviji i Node.js 22.14.0 ili noviji.
• Nalog koji predaje verziju mora imati uključenu dvofaktorsku potvrdu i pravo objavljivanja za taj paket.
• Paket mora već postojati u registru, pa se potpuno nov paket ne može predati na pripremu.
• Održavalac pregleda pripremljenu verziju iz komandne linije ili u kartici Staged Packages na sajtu registra.

Rok koji je već zadat

Izmjena dolazi s datumom uz sebe. Registar je 31. jula 2026. saopštio da za ukidanje neposrednog objavljivanja kroz tokene koji zaobilaze dvofaktorsku potvrdu cilja na januar 2027. Preporučeno odredište je objavljivanje s provjerenim izdavačem (trusted publishing), u kojem se sistem za neprekidnu integraciju registru predstavlja sopstvenim identitetom, pa dugotrajna tajna i ne postoji.

Token za pripremu postoji zbog projekata koji dotle ne stignu. GitHub ga opisuje kao način da se napusti automatizacija zasnovana na tokenu, i naglašava da je uvođenje dobrovoljno: postojeći tokeni i njihovo pravo na neposredno objavljivanje ostaju nepromijenjeni.

Šta se dobija dodatnim korakom

Dobitak nije u samom tokenu nego u drugoj osobi. Priprema razdvaja izgradnju verzije od njenog objavljivanja, a dvofaktorsku potvrdu traži samo objavljivanje.

Ovo ukazuje na to da je korist uža nego što naslov izmjene obećava. Procureo token za pripremu više ne može sam da stavi novu verziju pred korisnike, ali i dalje može da premjesti oznaku izdanja ili da verziju označi kao zastarjelu. Dodatno odobravanje uz to košta održavaoca pažnje pri svakom izdanju, a takav trošak se po pravilu isključi poslije treće lažne uzbune.