GitHubは7月31日、npmの『2FAを回避できるGranular Access Token』で、組織・パッケージ・アカウントの重要な管理操作を実行できないようにしました。公開処理の自動化は当面維持されますが、設定変更には対話型2FAが必要です。長期トークンが漏れた際の被害を小さくし、CI/CDからnpmへ公開する方法を固定秘密鍵からOIDCを使うTrusted Publishingへ移す流れが明確になりました。
管理操作は対話型2FAへ
制限対象には、組織メンバーや所有者の変更、パッケージ所有権や公開範囲の変更、トークン管理などが含まれます。GitHubのPAT、GitHub App、GITHUB_TOKENには影響しません。既存のnpm公開ジョブは直ちに全停止するわけではありません。
2027年に直接公開を終了予定
GitHubは、2FA回避トークンを使う直接公開を2027年1月を目標に終了する方針です。推奨されるTrusted Publishingは、CI実行時に短時間だけ有効なOIDC資格情報を発行し、保存済みのnpmトークンを減らします。移行が難しい環境には段階的公開も案内されています。
CIの固定トークンを棚卸し
開発チームは、どのリポジトリがnpmトークンを保持しているかを棚卸しし、OIDC対応可否、権限、保護ルール、失敗時の復旧手順を確認すべきです。供給網攻撃の入口を減らせます。 今回の変更だけで公開用トークンが無効になるわけではありません。2027年の予定は変更される可能性があるため、公式更新を追いながら早めに移行してください。