2025년 7월 31일

npm이 OpenID Connect(OIDC) 기반 신뢰할 수 있는 배포 기능을 일반 배포함. GitHub Actions와 GitLab CI/CD의 특정 워크플로를 패키지의 신뢰할 수 있는 게시자로 지정해, 장기 수명의 npm 게시 토큰을 저장·회전·노출하지 않고도 패키지를 배포할 수 있게 함. 배포마다 짧은 수명의 워크플로별 자격 증명을 사용하고, 해당 방식으로 게시한 패키지에는 소스와 빌드 환경을 검증할 수 있는 프로비넌스 증명을 기본 생성하며 npm 공급망 보안 체계를 강화함.