npm 12 aumenta a segurança desativando scripts de instalação

O GitHub lançou a versão 12 do npm, introduzindo melhorias significativas de segurança voltadas à redução dos riscos de ataques na cadeia de suprimentos no ecossistema Node.js. Por padrão, essa nova versão desativa a execução automática de scripts de instalação de pacotes — um vetor comum para injeção de código malicioso.

Além das mudanças nos scripts, o npm 12 inicia o processo de descontinuação dos tokens de acesso granular (GATs), que anteriormente conseguiam contornar a autenticação de dois fatores (2FA). Essas atualizações refletem esforços contínuos para fortalecer a segurança dos fluxos de trabalho dos desenvolvedores e minimizar possíveis caminhos de exploração.

Alterações nos Scripts de Instalação

• A opção allowScripts agora tem valor padrão false, exigindo permissão explícita para executar scripts durante a instalação.
• Essa mudança reduz o risco de execução de código indesejado ou malicioso proveniente de pacotes de terceiros.
• Os desenvolvedores podem reativar os scripts individualmente por projeto usando a flag --allow-scripts no CLI.
• Projetos que dependem da execução automática de scripts precisarão de ajustes nas configurações para manter a funcionalidade.

Melhorias na Segurança de Autenticação

• Tokens de Acesso Granular (GATs), que anteriormente podiam contornar a imposição da 2FA, estão agora em processo de descontinuação.
• Essa medida fortalece a proteção das contas, garantindo que a 2FA permaneça eficaz em todos os tipos de tokens.
• As organizações devem revisar os tokens existentes e migrar para métodos de autenticação suportados.
• Versões futuras do npm removerão totalmente o suporte ao comportamento legado dos GATs.

Fontes

• npm 12 Desativa Scripts de Instalação por Padrão para Reduzir Riscos na Cadeia de Suprimentos