깃허브가 9월 18일 npm 세밀 접근 토큰(granular access token)을 만들 때 고를 수 있는 「읽기·쓰기(스테이지 전용)」 권한을 추가했어요. 이 토큰은 5월 22일 정식 출시된 단계적 게시(staged publishing)의 npm stage publish 로 버전을 올려 두는 것까지만 되고, 2FA 우회 설정을 해 놨더라도 npm publish 는 거부돼서 메인테이너가 2FA 로 승인해야 배포돼요. 다만 dist-tag 이동과 버전 폐기(deprecate) 같은 다른 쓰기 권한은 그대로 남아 있어서 유출되면 latest 태그를 옮기는 식의 피해는 여전히 가능하고, 기존 토큰은 바뀌지 않는 옵트인이며 2027년 1월 2FA 우회 토큰의 직접 게시 폐지 전에 신뢰 게시(trusted publishing)로 못 옮기는 파이프라인을 위한 이행 경로로 소개됐어요.
용어 풀이
- 2FA
- 2단계 인증. 비밀번호 외에 일회용 코드 같은 두 번째 확인을 요구하는 로그인 방식.
- CI
- 지속적 통합(Continuous Integration). 코드가 올라올 때마다 자동으로 빌드·테스트·배포를 돌리는 서버.
- dist-tag
- npm 패키지 버전에 붙이는 이름표. latest 태그가 가리키는 버전이 기본 설치 대상이 된다.
운영자 인사이트
코딩 에이전트가 CI 에서 버전 올리기까지 맡는 파이프라인이라면, 신뢰 게시가 아직 안 되는 CI 에서도 이 토큰으로 「에이전트는 올려 두고 사람이 2FA 로 승인」 구조를 지금 만들 수 있어요. 다만 단계적 게시는 이미 존재하는 패키지에만 되고, 이 토큰으로도 dist-tag 를 옮기고 버전을 폐기할 수 있으니 유출 대응 절차는 그대로 두고 게시 전 사람이 보는 단계 하나를 더한 것으로만 여기세요.
여러 관점으로 보기
- 이 토큰이 얹힌 기능 단계적 게시는 npm CLI 11.15.0·Node 22.14.0 이상이 필요하고, 이미 레지스트리에 있는 패키지에만 되며, 승인(npm stage approve)에는 2FA 가 필요해요. npm Docs
- 도입 시점 단계적 게시는 5월 22일 npm CLI 11.15.0 부터 정식 출시됐고, 올린 버전은 메인테이너가 명시적으로 승인해야 설치 가능해져요. GitHub
- 왜 지금인가 7월 8일 공지에서 2FA 우회 토큰은 2027년 1월 직접 게시를 잃고 비공개 패키지 읽기와 스테이징만 남는다고 예고했고, 이번 토큰은 그 예고의 이행 경로예요. GitHub
- npm 로드맵 npm 제품 관리자 레오 발터가 9월 17일 올린 로드맵은 목적을 「탈취된 자격 증명이 할 수 있는 일을 줄이는 것」으로 적었고, 새 패키지의 스테이징 생성과 일괄 승인은 올해 남은 일정, 신뢰 게시 제공자 확대는 2027년으로 잡았어요. GitHub Community