[Перевод] Пакетным менеджерам пора ввести период охлаждения

05.06.2026 13:42:27 | Хабр

Хабы: Блог компании CodeScoring, Информационная безопасность, Open source, Управление разработкой

Когда злоумышленник получает доступ к учетной записи мейнтейнера или захватывает заброшенный пакет, вредоносная версия может разойтись по тысячам проектов быстрее, чем ее успеют заметить. Один из способов снизить риск — ввести период охлаждения для зависимостей: не устанавливать новую версию пакета сразу после публикации, а ждать несколько дней, пока сообщество и вендоры безопасности успеют отреагировать.

Публикуем перевод статьи Эндрю Несбитта о dependency cooldown и о том, как этот подход реализуют разные пакетные менеджеры и инструменты обновления зависимостей: npm, pnpm, Yarn, Bun, Deno, pip, uv, Poetry, Bundler, Cargo, Dependabot, Renovate и другие. Отдельно в материале рассматриваются различия между относительными интервалами и абсолютными датами, проблемы временных меток, исключения для обновлений безопасности и ограничения подхода в разных экосистемах.

Подробнее

Читайте также

OpenPGM: зачем Бирже мультикаст?
05.06.2026 13:38:59 | Хабр

Google разрешила издательствам и крупным блогерам в США настраивать внешний вид и содержание их профилей в поисковой выдаче
05.06.2026 13:36:09 | vc.ru

Телескоп «Джеймс Уэбб» составил карту погоды на гигантской экзопланете
05.06.2026 13:27:58 | Хабр

Из зарубежного IT — в розницу: как два айтишника открывали магазин разливного пива
05.06.2026 13:08:16 | Хабр

[Перевод] Как я установил в свой игровой ПК серверный GPU за £200
05.06.2026 13:01:14 | Хабр

«Смотря какой fabric, смотря сколько details». Как и почему LLM оказались не в состоянии перевести текст
05.06.2026 12:57:20 | Хабр

Феномен воображения, фантазии и эйдетической памяти человека
05.06.2026 12:55:07 | Хабр

Минпромторг перенес старт технологического сбора на конец года
05.06.2026 12:46:06 | it-world

Налог на жир
05.06.2026 12:35:11 | Хабр

Простая сложная VictoriaMetrics
05.06.2026 12:34:15 | Хабр

Сравнение Thick Turret и Thin Turret для координатно-пробивных прессов с ЧПУ
05.06.2026 12:28:37 | Хабр

Nintendo выпустит новую версию портативки Switch 2 со сменной батареей
05.06.2026 12:23:14 | ferra.ru

Самый старый кирпич трансформера наконец переизобрели. DeepSeek взял матрицу из 1967 года
05.06.2026 12:21:28 | Хабр

Как 11 лет назад собрать игру на ATtiny2313 без знаний электроники и породить ИИ-баг
05.06.2026 12:15:52 | Хабр

Fanotify — что он может дать по сравнению с inotify и что попросит взамен
05.06.2026 12:06:36 | Хабр

Создание Android-смартфона с упором на приватность
05.06.2026 11:50:00 | Хабр

Как сэкономить сутки в месяц на согласованиях: 6 сценариев
05.06.2026 11:38:45 | Хабр

В России создали квантовые вычислители мощностью от 70 кубитов
05.06.2026 11:31:00 | ferra.ru

Непридуманная история о том, как мы перетащили 300 ТБ key-value данных в облако без простоя
05.06.2026 11:21:14 | Хабр

IncidentRelay: self-hosted on-call, alert routing и уведомления без SaaS и канадских номеров
05.06.2026 11:20:04 | Хабр

Проверка спроса до запуска продукта: как мы проводим фейкдор‑тесты
05.06.2026 11:15:50 | Хабр

Нельзя попросить протоны сталкиваться помедленнее: как устроена фильтрация данных CERN
05.06.2026 11:15:45 | Хабр

Из CTF в багбаунти: как я заработал 7 миллионов рублей за полтора месяца и причем тут ИИ
05.06.2026 11:13:27 | Хабр

Как Anthropic меняет подходы к разработке в софтверных компаниях
05.06.2026 11:13:11 | Хабр

В России улучшили метод анализа геомагнитного поля
05.06.2026 11:09:19 | ferra.ru

Я создал два сайта через Claude, потому что не хотел мучить дизайнера и верстальщика
05.06.2026 11:07:42 | Хабр

Apple объяснила удаление Max из App Store «соблюдением санкций» — BBC
05.06.2026 11:05:18 | vc.ru

Wired: в приложение Meta* AI «тайно» добавили код невыпущенной функции распознавания лиц для «умных» очков
05.06.2026 11:04:53 | vc.ru

В умелых руках и sed — балалайка или пишем «Морской бой» на регулярках
05.06.2026 10:38:09 | Хабр

Все растут, но никто не зарабатывает: российский каршеринг — убыточная гонка за мечтой о городе без личных автомобилей
05.06.2026 10:37:02 | vc.ru

Что я понял о людях, создавая спортивное сообщество внутри компании
05.06.2026 10:33:41 | Хабр

Сколько оперативной памяти нужно ПК в 2026 году: 8, 16, 32 или 64 ГБ
05.06.2026 10:31:54 | Хабр

Основы Ansible — как автоматизировать конфигурации и деплой
05.06.2026 10:31:41 | Хабр

Про войну в истории и фэнтези
05.06.2026 10:30:11 | Хабр

Владельцы сайтов получат право запретить Google использовать их материалы в ИИ-поиске
05.06.2026 10:23:14 | ferra.ru

Смотреть все

НОВОСТИ

«Сильная, гордая, самодостаточная»: Медведев объяснил, почему Россию так боятся на Западе
29.07.2026 16:34:36 | Life.ru

У ребенка российских туристов случился приступ астмы из-за пыли в отеле Египта
29.07.2026 16:34:31 | Lenta.ru

Врач назвала главные причины простуды в жару
29.07.2026 16:33:16 | Lenta.ru

Поддубный назвал анонимные новостные каналы оружием против России
29.07.2026 16:32:52 | ТАСС

КЧР первой в СКФО запустила просветительский проект общества "Знание" для мигрантов
29.07.2026 16:32:26 | ТАСС

«Как таран»: Медведев объяснил, зачем Западу на самом деле нужна Украина
29.07.2026 16:32:00 | Life.ru

Эксперт заявил о способности российской системы «Волна купол» глушить Starlink
29.07.2026 16:31:51 | Life.ru

В Санкт-Петербурге 8 и 9 августа пройдут Дни Великого Устюга
29.07.2026 16:31:14 | ТАСС

Росатом изготавливает 13 корпусов малых реакторов для ледоколов и малых АЭС
29.07.2026 16:31:13 | ТАСС

Бывшая жена Диброва захотела изменить внешность после развода
29.07.2026 16:30:41 | Lenta.ru

Росатом завершил изготовление реакторов РИТМ-200 для строящегося ледокола "Ленинград"
29.07.2026 16:30:32 | ТАСС

«Запредельное количество»: Медведев разнёс политику Запада и его санкционный марафон
29.07.2026 16:30:14 | Life.ru

Медведев назвал способ сохранения России
29.07.2026 16:30:00 | Lenta.ru

Не умел плавать и писал море по памяти: 9 тайн Ивана Айвазовского, которые удивят даже поклонников
29.07.2026 16:30:00 | Life.ru

Токаев назвал заслугой Путина мировой успех турнира "Игры будущего"
29.07.2026 16:29:40 | ТАСС

Медведев заявил, что Россию испытывают на прочность во всех сферах
29.07.2026 16:29:07 | Life.ru

В ВСУ после смены главкома начали проверку укомплектованности частей
29.07.2026 16:29:04 | ТАСС

Шансы сборной Италии на победу на следующих Евро и ЧМ оценили
29.07.2026 16:29:00 | Lenta.ru

Буланов рассудит ЦСКА и "Крылья Советов" в матче РПЛ
29.07.2026 16:28:44 | ТАСС

Ассоциация воздушного транспорта отметила падение цен на авиатопливо в июне
29.07.2026 16:28:41 | ТАСС

Перехватчик "Молния-ПВО" таранит дроны ВСУ без боевой части
29.07.2026 16:27:44 | ТАСС

Украина оспорила решение МОК о временном допуске россиян к Олимпиаде
29.07.2026 16:27:29 | Life.ru

Спасатель объяснил участившиеся случаи гибели альпинистов на Эльбрусе
29.07.2026 16:26:00 | ТАСС

Медведев: все думские фракции поддержали связанные с помощью бойцам СВО законы
29.07.2026 16:25:56 | ТАСС

Медведев: Сохранить Россию можно только победой в СВО
29.07.2026 16:25:22 | Life.ru

На Кубани создадут огневые группы для защиты предприятий от атак ВСУ
29.07.2026 16:25:13 | Life.ru

Адвокат раскрыл последствия для продолжающих использовать Telegram россиян
29.07.2026 16:24:56 | Lenta.ru

Игорь Крутой отметил 72-летие и пошутил над своим возрастом
29.07.2026 16:24:56 | Life.ru

В подмосковном Чехове ввели режим ЧС после атаки беспилотников
29.07.2026 16:23:58 | Life.ru

Специалист назвал способ изменить забытый ПИН-код карты
29.07.2026 16:23:50 | Lenta.ru

Россиянин с самодельным огнеметом поджег соседскую квартиру
29.07.2026 16:23:49 | Lenta.ru

Киберэксперт оценил последствия обрезки Финляндией кабеля для интернет-трафика в Россию
29.07.2026 16:23:09 | Lenta.ru

Медведев: сохранить Россию можно только победив в СВО
29.07.2026 16:22:21 | ТАСС

РБК: основателя российского майнера BitRiver обвинили в мошенничестве
29.07.2026 16:22:14 | Коммерсантъ

Медведев: Запад использует Киев как таран для уничтожения России
29.07.2026 16:21:51 | ТАСС

Все новости

ВСЕ НОВОСТИ

ПИШИТЕ

Техническая поддержка проекта ВсеТут

info@vsetut.pro