Un file di distribuzione è l'artefatto di rilascio pacchettizzato che uno strumento di installazione scarica da un registry software. Negli ecosistemi Python, questo può essere un wheel o un archivio sorgente che contiene il codice e i metadati necessari per installare una versione specifica di un pacchetto.
I file di distribuzione sono importanti perché sono gli oggetti concreti di cui si fidano gli utenti e i sistemi di build. Se un attaccante può sostituire o aggiungere un file a un rilascio esistente, potrebbe essere in grado di avvelenare un pacchetto senza creare un nuovo progetto. I difensori trattano quindi i controlli di caricamento, la firma e le policy del registry come parte della sicurezza della supply chain. Limitare quando i file di distribuzione possono essere aggiunti o modificati aiuta a ridurre il valore delle credenziali rubate, dei token di pubblicazione compromessi e dei workflow di automazione abusati.