GitHub и PyPI внедрили новые политики, направленные на повышение безопасности цепочек поставок в разработке программного обеспечения. Одним из ключевых изменений стало введение трехдневного периода ожидания для инструмента Dependabot перед созданием pull request. Это нововведение позволит разработчикам более тщательно проверять изменения и минимизировать риски, связанные с автоматизированным обновлением зависимостей.

Кроме того, PyPI, популярный репозиторий для пакетов Python, теперь отказывает в загрузке файлов для релизов, которые старше 14 дней. Это решение направлено на защиту пользователей от использования устаревших и потенциально небезопасных версий пакетов, что также способствует повышению общей безопасности экосистемы Python.

Обе инициативы являются частью более широкой стратегии по улучшению безопасности программного обеспечения и защиты от уязвимостей, которые могут возникнуть в результате использования ненадежных зависимостей. Эксперты по кибербезопасности приветствуют данные изменения, отмечая, что они помогут разработчикам лучше контролировать и управлять зависимостями в своих проектах.

Введение таких мер как трехдневное ожидание для Dependabot и ограничения на загрузку устаревших файлов в PyPI подчеркивает важность проактивного подхода к безопасности в разработке. Эти изменения также могут способствовать повышению осведомленности разработчиков о рисках, связанных с безопасностью цепочек поставок.

Таким образом, новые политики GitHub и PyPI являются важными шагами на пути к более безопасной и надежной экосистеме для разработчиков программного обеспечения.

Источник новости:
SecurityWeek

Читать полностью