Компания Microsoft объявила, что с 17 августа 2026 года новые ключи API NuGet.org будут иметь ограниченный срок действия — всего 30 дней, вместо прежней возможности создавать ключи на 365 дней. Если у вас есть ключи API, созданные до 17 августа 2026 года, они истекут 1 ноября 2026 года.
Краснодарский гигант остановился на этом изменении, решив усилить безопасность цепочки поставок в экосистеме NuGet и снизить риск раскрытия долгоживущих учётных данных.
Для тех, кто не в курсе: NuGet — это менеджер пакетов .NET от Microsoft, предоставляющий разработчикам доступ к готовым библиотекам, чтобы уменьшить дублирование кода.
В рамках этого изменения в области безопасности Microsoft рекомендует разработчикам перейти на NuGet Trusted Publishing, использующий аутентификацию на основе OpenID Connect. Trusted Publishing, запущенный в сентябре 2025 года, проверяет краткосрочные токены идентификации на соответствие настроенным политикам для выдачи временных ключей API. Компания заявила, что миграция на Trusted Publishing сразу поддерживается для пользователей GitHub Actions и GitLab.
Обосновывая изменение, Microsoft сослалась на недавнюю утечку учётных данных, связанную с NX console NPM package, который был злонамеренно обновлён и активирован 6000 раз всего за 36 минут до удаления. Это произошло из-за кражи учётных данных. Ограничив их использование, хакеры быстрее потеряют к ним доступ.
Издателям, планирующим продолжать использовать ключи API, необходимо обновить свои автоматизированные рабочие процессы, чтобы они поддерживали более короткую ротацию ключей, и обеспечить узкую область действия разрешений. Если вы планируете выполнять ручные выпуски пакетов, Microsoft рекомендует использовать публикацию через веб-интерфейс на NuGet.org.
Хотя это позитивный шаг для безопасности, Microsoft оставляет за собой возможность дальнейшего сокращения срока действия ключей API, если сочтёт такой шаг необходимым в будущем. Однако снижение порога ниже 30 дней может сделать жизнь разработчиков несколько менее удобной.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Paul Hill
