npm вводит 72-часовую паузу после входа по резервному коду

Что изменилось. 9 сентября 2026 года npm распространил 72-часовую защитную паузу после успешного входа по резервному коду на все аккаунты. Раньше эта мера применялась только к учётным записям с высоким влиянием.

Что блокируется. На время паузы нельзя публиковать пакеты и выполнять другие чувствительные операции, включая создание токенов доступа. Вход в аккаунт, просмотр и установка пакетов продолжают работать.

Что делать разработчику.

• Не планируйте срочный выпуск пакета сразу после восстановления доступа резервным кодом.
• Проверьте CI и релизные процедуры: новый токен нельзя будет создать до окончания паузы.
• Если вход по резервному коду выполняли вы, дождитесь автоматического снятия ограничения — отдельное обращение в поддержку не требуется.
• Если публикация заблокирована неожиданно и резервный код вы не использовали, немедленно обратитесь в поддержку npm и проверьте безопасность аккаунта.

Почему это важно. Мера замедляет злоумышленника, который получил резервный код, и снижает риск вредоносной публикации от имени захваченного владельца пакета. Одновременно она меняет аварийный сценарий релиза: восстановление входа больше не означает мгновенное возвращение прав на публикацию.

Ограничение. Это описание новой политики npm по официальному анонсу GitHub. Оно не означает, что аккаунт скомпрометирован при каждом входе по резервному коду.

Безопасный следующий шаг. Храните резервные коды отдельно от пароля и заранее назначьте второй проверенный способ восстановления доступа, чтобы не зависеть от одного аварийного канала перед выпуском.

Новые слова простыми словами

Резервный код

Одноразовый код для восстановления доступа, когда обычный второй фактор недоступен.

Security hold

Временная защитная пауза на чувствительные операции после события, которое может указывать на захват аккаунта.

---

Проверяемые источники

• npm extends recovery-code security holds to all accounts