GitHub a annoncé le 2 octobre 2026 une expiration des configurations npm trusted publishing non validées. Elles cessent d’autoriser la publication 48 heures après leur création si aucune première publication réussie ne les a validées.
La première publication valide la relation
Une configuration validée est exemptée de cette expiration. Changer l’identité du dépôt ou du projet nécessite une nouvelle relation de confiance et une nouvelle fenêtre de 48 heures ; une modification ordinaire ne redémarre pas le délai.
Les configurations expirées restent visibles dans les réglages, sans compter dans la limite par paquet. Les autres configurations valides ne sont pas affectées. Ce ne sont donc ni les paquets déjà publiés ni toutes les relations existantes qui expirent après deux jours.
Un événement GitHub Actions supplémentaire est refusé
npm rejette désormais les jetons trusted publishing issus de issue_comment, en plus de la restriction déjà appliquée à pull_request_target. L’annonce cite push, release et workflow_dispatch comme exemples d’événements permis.
Ce que couvre trusted publishing
La documentation npm décrit une authentification OpenID Connect liée à un workflow CI/CD précis, pour publier sans jeton npm de longue durée. Elle indique npm CLI 11.5.1 au minimum et Node 22.14.0 au minimum.
Les environnements pris en charge comprennent les runners hébergés de GitHub Actions, les runners partagés de GitLab.com et CircleCI cloud. Les runners auto-hébergés ne sont pas encore pris en charge. La nouvelle fenêtre de validation ne constitue pas une garantie absolue contre les incidents de sécurité.
