npm 12: Install-Skripte standardmäßig deaktiviert

GitHub hat die Veröffentlichung von npm Version 12 bekannt gegeben, die eine signifikante Änderung in der Handhabung von Installationsskripten mit sich bringt. Ab sofort sind Installationsskripte standardmäßig deaktiviert, um das Risiko von Sicherheitsvorfällen in der Software-Lieferkette zu verringern. Diese Entscheidung folgt auf eine Reihe von Vorfällen, bei denen bösartige Skripte über npm-Pakete verbreitet wurden. Die neue Version führt die Option allowScripts ein, die standardmäßig auf off gesetzt ist. Entwickler müssen nun aktiv zustimmen, um Installationsskripte auszuführen, was eine zusätzliche Sicherheitsebene bietet.

Diese Maßnahme zielt darauf ab, die Integrität der Software zu schützen und das Vertrauen in die Nutzung von npm zu stärken. Zusätzlich hat GitHub die Verwendung von granularen Zugriffstoken (GATs) eingestellt. Diese Token ermöglichten es Nutzern, die Zwei-Faktor-Authentifizierung (2FA) zu umgehen, was ein erhebliches Sicherheitsrisiko darstellte. Die Abschaffung dieser Funktion soll sicherstellen, dass alle Nutzer, die auf npm zugreifen, die 2FA aktiv nutzen müssen, um ihre Konten zu schützen. Die Änderungen in npm 12 sind Teil einer breiteren Initiative von GitHub, die darauf abzielt, die Sicherheit in der Open-Source-Community zu verbessern.

In den letzten Jahren gab es mehrere hochkarätige Sicherheitsvorfälle, die die Notwendigkeit für strengere Sicherheitsmaßnahmen unterstrichen haben. GitHub hat sich verpflichtet, die Sicherheitsstandards kontinuierlich zu erhöhen und die Nutzer über bewährte Praktiken zu informieren. Die Reaktionen auf die Änderungen sind gemischt. Einige Entwickler begrüßen die neuen Sicherheitsmaßnahmen und sehen sie als notwendigen Schritt zur Verbesserung der Sicherheit. Andere äußern Bedenken, dass die zusätzlichen Hürden die Nutzung von npm für bestimmte Projekte erschweren könnten.

Die Diskussion über die Balance zwischen Sicherheit und Benutzerfreundlichkeit wird in der Entwicklergemeinschaft weiterhin geführt. Die Version 12 von npm wird voraussichtlich in den kommenden Wochen für alle Nutzer verfügbar sein. GitHub plant, die Änderungen schrittweise einzuführen, um sicherzustellen, dass die Entwickler ausreichend Zeit haben, sich an die neuen Einstellungen anzupassen. Die vollständige Dokumentation zu den Änderungen wird auf der offiziellen GitHub-Seite bereitgestellt. Die Entscheidung, Installationsskripte standardmäßig zu deaktivieren, könnte auch Auswirkungen auf die Art und Weise haben, wie Entwickler ihre Pakete verwalten.

Viele Entwickler verlassen sich auf Skripte, um Abhängigkeiten zu installieren oder Konfigurationen vorzunehmen. Die Notwendigkeit, diese Skripte manuell zu aktivieren, könnte zu einer Überprüfung und Anpassung bestehender Projekte führen. Die Sicherheitslage in der Softwareentwicklung bleibt angespannt. Laut einer Studie von 2025 sind 70 % der Entwickler besorgt über Sicherheitsrisiken in der Software-Lieferkette. Die neuen Maßnahmen von GitHub könnten dazu beitragen, das Vertrauen in Open-Source-Projekte zu stärken und die Sicherheit der gesamten Community zu erhöhen.

Die Änderungen in npm 12 sind Teil eines umfassenderen Trends in der Softwareentwicklung, der sich auf die Verbesserung der Sicherheit konzentriert. Unternehmen und Entwickler sind zunehmend gefordert, Sicherheitspraktiken zu implementieren, um den Herausforderungen der modernen Bedrohungslandschaft gerecht zu werden. GitHub hat angekündigt, weiterhin in Sicherheitslösungen zu investieren und die Community über neue Entwicklungen auf dem Laufenden zu halten. Die offizielle Veröffentlichung von npm 12 wird für den 15. Juli 2026 erwartet, und die Entwickler werden ermutigt, sich mit den neuen Funktionen und Sicherheitsmaßnahmen vertraut zu machen.