未検証のnpm信頼済み公開設定が期限切れにUnvalidated npm trusted publishing configurations now expire
匿名の公開いいねです。記事の保存・お気に入りではなく、Featured、Top 3、重要度、掲載順位には影響しません。仕組みとプライバシーAnonymous public likes are reactions, not saved articles or bookmarks. They do not affect Featured, Top 3, importance, or listing order.How it works and privacy
- npmの未検証の信頼済み公開設定は、作成から48時間後に失効し、公開を許可しなくなる。
- 初回公開の成功で期限対象外となり、失効時は再作成できるため、所有者変更に伴う悪用リスクを抑えられる。
- npm now disables unverified trusted-publisher setups 48 hours after creation.
- A successful first publish removes the deadline, reducing abuse if repository ownership shifts.
本ページの本文と要約は AI による自動生成です。日本語版と英語版は言語ごとに独立して生成されるため、表現や詳しさが異なる場合があります。正確性は元記事 (github.blog) をご確認ください。The body and summaries are AI-generated independently for each language, so wording and detail may differ. Verify accuracy at the original source (github.blog).
要約と収集メタデータに基づく AI 解説。元記事全文の転載・翻訳ではありません。AI explainer based on the summaries and collected metadata, not a copy or translation of the full source article.
npmでは、未検証の信頼済み公開設定が作成から48時間後に失効し、公開の許可に使えなくなる。リポジトリやプロジェクト名の所有者が変わった場合に、古い信頼設定が悪用されるリスクを抑えるための変更だ。
48時間の期限
新しく作成された信頼済み公開設定は、検証されないまま48時間が経過すると期限切れになる。期限切れ後、その設定を利用してパッケージを公開することはできない。再び48時間の検証期間を開始するには、設定を再作成する必要がある。
初回公開の成功
設定を使った初回の公開が成功すると、その設定は検証済みとなり、48時間の期限の対象外になる。期限が解除される条件は、最初の公開が正常に完了することだ。
リポジトリまたはプロジェクトの識別情報を変更する場合は、新たな信頼関係が必要となり、改めて48時間の検証期間が設定される。一方、通常の編集では期限のカウントは最初からやり直されない。
期限切れ設定
期限切れになった設定も、信頼済み公開元の設定画面には引き続き表示される。ただし、パッケージごとに設けられた設定数の上限には含まれない。また、同じパッケージに登録されているほかの有効な設定には影響しない。
トークンの制限
npmは、GitHub Actionsのissue_commentイベントから発行された信頼済み公開トークンも拒否するようになった。これは、既存のpull_request_targetイベントに対する制限と並ぶものとなる。
48 hours after creation
Unvalidated npm trusted publishing configurations now expire 48 hours after creation and can no longer authorize publishing. The change matters because it limits the risk of trusting a repository or project name that later changes ownership.
The 48-hour deadline applies while a trusted publishing configuration remains unvalidated. Once that period ends, the configuration no longer provides publishing authorization. Expiration does not remove the configuration from view: it remains visible in trusted publisher settings.
First successful publish
A configuration becomes validated after its first successful publish. At that point, it is exempt from the 48-hour expiration rule.
This means the deadline applies to the initial validation period rather than to every future use of the configuration. A successful first publish establishes the configuration as validated, so it is no longer subject to expiry under this rule.
New trust relationship
Changing the repository or project identity requires a new trust relationship. That new relationship starts with a fresh 48-hour validation window.
Ordinary edits do not restart the deadline. If a configuration expires before its first successful publish, it must be recreated to begin another 48-hour window.
Expired configurations do not count toward per-package limits, even though they remain visible in trusted publisher settings. Other valid trusted publishing configurations associated with the package are not affected when one configuration expires.
GitHub Actions issue_comment events
npm also now rejects trusted publishing tokens from GitHub Actions issue_comment events. This restriction applies alongside the existing restriction for pull_request_target events.
As a result, trusted publishing tokens from either of those GitHub Actions event types are rejected. This token restriction is separate from the 48-hour validation window governing newly created trusted publishing configurations.
ポコとTECHガイドPoko & TECH Guide
ポコと当サイトのTECHガイドが、記事の要約と収集した情報から読みどころを語るAI生成の対話です。Poko and TECH Dashboard's own TECH Guide discuss the article's highlights in an AI-generated conversation based on its summary and collected source details.
- ポコPokonpmでパッケージを公開する作業は、普段どう変わるの？信頼済み公開を設定したら、すぐ試す必要がある？How does this change the day-to-day job of publishing an npm package? Once I set up trusted publishing, do I need to test it right away?
- TECHガイドTECH Guide未検証の設定は作成から48時間で失効し、公開を許可できなくなるよ。最初の公開に成功すれば検証済みになり、期限の対象外になる。An unverified setup expires 48 hours after creation and can no longer authorize publishing. Once the first publish succeeds, it’s validated and no longer subject to that deadline.
- ポコPoko前は、初回公開が遅れても設定を使えたの？それとも、今回から期限がはっきりしただけ？Before this, could you still use the setup if the first publish took longer? Or is the deadline just clearer now?
- TECHガイドTECH Guide以前の細かな扱いまでは説明されていないよ。現在は48時間が明示され、失効しても再作成すれば新しい48時間が始まる。The prior details aren’t explained here. What’s clear now is the 48-hour window, and if a setup expires, recreating it starts a fresh one.
- ポコPokoいちばん大事なのは、設定後48時間以内に最初の公開を成功させることなんだね。間に合わなければ作り直せる、と。So the big takeaway is to get the first publish working within 48 hours. And if I miss it, I can recreate the setup.
- TECHガイドTECH Guideそうだね。リポジトリやプロジェクトの識別情報を変える場合は、新しい信頼関係と48時間の検証枠が必要な点にも注目だよ。Right. Also note that changing the repository or project identity requires a new trust relationship and a fresh 48-hour validation window.
