npm trusted publishing è un metodo di rilascio che consente a un workflow di CI di pubblicare pacchetti usando un'identità di breve durata, vincolata al workflow, invece di un token del registry a lunga durata. Il workflow dimostra chi è al momento della pubblicazione, spesso tramite un'identità federata come OIDC, e npm accetta tale prova solo per il repository e il job autorizzati.
Questo è importante perché i token del registry sono segreti ad alto valore: se vengono rubati, possono essere riutilizzati per pubblicare codice malevolo da qualsiasi luogo. Trusted publishing riduce questo rischio rimuovendo credenziali permanenti, ma non elimina la fiducia dal sistema. Gli attaccanti che compromettono un account di maintainer, un workflow di GitHub o le impostazioni del repository possono comunque abusare del percorso di pubblicazione e far apparire legittima una release. Chi difende dovrebbe limitare quali repository possono pubblicare, esaminare con attenzione le modifiche ai workflow e verificare che le nuove versioni dei pacchetti siano coerenti con l'attività di build prevista.