La fiducia nel publisher è la valutazione di sicurezza secondo cui un autore, manutentore o fornitore di software è autentico e dovrebbe essere autorizzato a distribuire codice. In pratica, combina segnali come identità verificate, certificati di firma, proprietà dello spazio dei nomi, reputazione e cronologia di revisioni precedenti. L'obiettivo è rispondere a una domanda semplice: ci si può fidare che questo publisher distribuisca il pacchetto che dichiara di distribuire?
Questo è importante perché gli aggressori spesso prendono di mira il livello di fiducia invece del codice stesso. Possono impersonare un fornitore noto, compromettere un account di manutenzione, registrare un nome publisher simile o abusare di un'inserzione del marketplace per far sembrare normale un software malevolo. Negli ecosistemi di sviluppo, un publisher fidato può dare a un'estensione o a un pacchetto accesso a file, traffico di rete e impostazioni, quindi una fiducia falsa diventa un rischio per la supply chain. I difensori riducono questo rischio con allowlist, verifica del publisher, firma dei pacchetti, revisione degli ID delle estensioni e degli spazi dei nomi, e avvisi quando un publisher fidato cambia comportamento o proprietà.