npm: выпуск пакета с подтверждением человека

18 сентября 2026 года GitHub объявил о токенах npm с разрешением Read and write (stage only). Автоматизация может подготовить версию пакета к проверке, но не выпустить её напрямую.

Как работает выпуск

Сценарий отправляет версию через npm stage publish. Затем сопровождающий проверяет её и подтверждает выпуск с двухфакторной аутентификацией. Прямой npm publish с таким токеном отклоняется, даже если для автоматизации настроен обход 2FA.

Нужны существующий пакет, право публикации, включённая 2FA, npm CLI не ниже 11.15.0 и Node.js не ниже 22.14.0. Режим включается отдельно: действующие токены автоматически не меняются.

Важное ограничение

Stage-only сохраняет другие права записи, включая перемещение dist-tags и объявление версий устаревшими. Это не токен только для чтения; его всё равно нужно защищать как секрет.

Редакционная рекомендация: сначала проверьте процесс на тестовом пакете. Убедитесь, что версия ожидает проверки и прямой выпуск запрещён. Если процесс не подходит, остановите тестовую автоматизацию и отзовите тестовый токен; не возвращайте расширенные права автоматически.

Материал подготовлен по официальному анонсу. Редакция не выполняла публикацию пакета и не проверяла процесс установкой.

Новые слова простыми словами

dist-tag

Именованная метка npm, указывающая на конкретную версию пакета, например latest.

---

Проверяемые источники

• Stage-only npm tokens for safer automation