La pubblicazione affidabile OIDC è un metodo di rilascio che consente a un flusso di lavoro CI/CD di ottenere un token di identità a breve durata da un provider OpenID Connect e להשתמש להשתמש to publish a package, artifact, or container image. Invece di memorizzare nel repository un segreto a lunga durata come una chiave API o un token npm, il sistema di build dimostra la propria identità al momento del rilascio e riceve diritti di pubblicazione temporanei.
Questo è importante perché riduce il valore delle credenziali rubate e limita per quanto tempo un flusso di lavoro compromesso può pubblicare software dannoso. Negli attacchi reali, un aggressore che ottiene accesso a un repository di manutenzione o a una pipeline di build può tentare di abusare del percorso di pubblicazione affidabile per distribuire una release manomessa pur apparendo legittimo. In difesa, i team di sicurezza associano la pubblicazione OIDC alla protezione dei branch, ai permessi del flusso di lavoro con privilegio minimo, ai controlli di approvazione e alla revisione dei log. OIDC migliora la sicurezza del rilascio, ma non garantisce che il codice pubblicato sia sicuro; rende solo più difficile abusare del lato credenziali della pipeline.