{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"En NPM 12.0, de forma predeterminada se desactiva la ejecuci\u00f3n de scripts al instalar paquetes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha publicado la versi\u00f3n 12.0 del gestor de paquetes NPM, que se incluye en la distribuci\u00f3n de Node.js y se utiliza para la distribuci\u00f3n de m\u00f3dulos en JavaScript. Esta nueva versi\u00f3n es notable por la desactivaci\u00f3n predeterminada de la ejecuci\u00f3n de scripts durante la instalaci\u00f3n de paquetes. Se espera que este cambio complique la realizaci\u00f3n de ataques a trav\u00e9s de la compromisi\u00f3n de dependencias y ralentice la propagaci\u00f3n de gusanos activados desde scripts de instalaci\u00f3n. <\/p>\n
Para prohibir el autostart de scripts especificados en package.json a trav\u00e9s de los par\u00e1metros preinstall, install o postinstall, la configuraci\u00f3n allowScripts se establece por defecto en \"off\". La ejecuci\u00f3n de tales scripts, as\u00ed como la compilaci\u00f3n de c\u00f3digo C\/C++ con la herramienta node-gyp cuando hay un archivo binding.gyp en el paquete, ahora solo se realiza tras recibir una instrucci\u00f3n expl\u00edcita del usuario. Adem\u00e1s, los par\u00e1metros \"--allow-git\" y \"--allow-remote\" ahora se establecen por defecto en \"none\", lo que desactiva la descarga autom\u00e1tica de dependencias desde repositorios de Git y enlaces directos a sitios con archivos tar. <\/p>\n
Para organizar la ejecuci\u00f3n de scripts de instalaci\u00f3n se debe usar el comando \"npm approve-scripts\", al que se le pasan como argumento los nombres de los paquetes de confianza, o la opci\u00f3n \"--all\" para otorgar permiso a todos los paquetes. Para paquetes dudosos, se recomienda ejecutar el comando \"npm approve-scripts --allow-scripts-pending\", que mostrar\u00e1 una lista de scripts que solicitan ejecuci\u00f3n. Tras revisar estos scripts, se pueden permitir con el comando \"npm approve-scripts\" y a\u00f1adir a la lista blanca en package.json. <\/p>\n
Adem\u00e1s, se ha anunciado la prohibici\u00f3n del uso de tokens de acceso GAT (Granular Access Tokens) en el repositorio de NPM, configurados para realizar acciones sin autenticaci\u00f3n de dos factores (2FA). A partir de agosto, tales tokens no permitir\u00e1n la realizaci\u00f3n de operaciones como la creaci\u00f3n o eliminaci\u00f3n de tokens, el cambio de perfil, contrase\u00f1a o correo electr\u00f3nico, la configuraci\u00f3n de la autenticaci\u00f3n de dos factores, la generaci\u00f3n de c\u00f3digos de recuperaci\u00f3n, el cambio de permisos y la gesti\u00f3n de colaboradores sin una verificaci\u00f3n manual adicional. <\/p>\n
En enero de 2027 se planea prohibir la publicaci\u00f3n directa de paquetes que utilizan tokens eludiendo 2FA. Sin embargo, los paquetes podr\u00e1n publicarse en la secci\u00f3n de staging, donde permanecer\u00e1n hasta que el acompa\u00f1ante confirme manualmente el lanzamiento. Tras esta confirmaci\u00f3n manual, los paquetes publicados estar\u00e1n disponibles para que los usuarios los instalen. <\/p>\n
Para la publicaci\u00f3n autom\u00e1tica, se sugiere utilizar el mecanismo \"Trusted Publishers\", basado en el uso del est\u00e1ndar OpenID Connect (OIDC) y tokens de autenticaci\u00f3n de tiempo limitado, que son intercambiados entre servicios externos y el cat\u00e1logo de paquetes para confirmar la operaci\u00f3n de publicaci\u00f3n de un paquete, en lugar de usar contrase\u00f1as tradicionales o tokens de acceso permanentes a la API. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"