npm ganha múltiplas configurações de publicação confiável

O GitHub anunciou em 3 de setembro que pacotes npm podem ter múltiplas configurações de trusted publishing via OIDC. Cada configuração é independente: a publicação é autorizada se corresponder a uma delas. A mudança permite organizar diferentes fluxos sem depender de uma configuração única.

Para quem mantém uma biblioteca ou ferramenta de modding, isso aproxima a publicação da organização real do projeto. Uma versão de teste e uma estável podem seguir caminhos distintos. O cuidado é não interpretar várias permissões como uma barreira que exige passar por todas: na regra anunciada, elas são alternativas.

Nossa sugestão editorial é desenhar quais repositórios, workflows e ambientes realmente precisam publicar. Dê um nome compreensível a cada caminho e remova configurações que perderam função. Um histórico claro ajuda a explicar de onde veio uma versão quando aparece um problema.

Não configuramos publicação de pacotes nesta reportagem. O valor da novidade é facilitar um processo rastreável, mas ela não torna qualquer workflow confiável por definição. Antes de aplicar no seu projeto, confira a documentação e teste o caminho pretendido com uma versão de pré-lançamento. O objetivo é publicar com menos improviso e saber exatamente quem pode chegar ao registro.

Fontes: GitHub — trusted publishing npm. Checagem: 10/09/2026. Análise documental; sem teste próprio.