Una coppia nome-pacchetto e versione è l'identificatore specifico ottenuto combinando il nome di un pacchetto con una versione rilasciata, come una singola release di gem in RubyGems. È più precisa del solo nome del pacchetto perché lo stesso progetto può avere molte versioni, ognuna con codice, metadati o comportamento diversi.
Nel campo della sicurezza informatica, questa distinzione è importante perché i difensori spesso monitorano il rischio a livello di release. Un pacchetto malevolo o sfruttato in modo abusivo può essere pubblicato con un solo nome, ma solo alcune versioni contengono codice dannoso, metadati sospetti o trigger di automazione. Gli attaccanti usano anche ampi insiemi di coppie nome-pacchetto e versione per saturare i registri, testare i flussi di lavoro o nascondere l'attività tra molte release. Per i difensori, l'indicizzazione tramite questa coppia aiuta negli avvisi, nelle allowlist, nella risposta agli incidenti e nell'analisi riproducibile, poiché individua con precisione quale artefatto sia stato installato, analizzato o sfruttato in modo abusivo.