GitHub wil dat meer ontwikkelaars die packages via het npm registry aanbieden en beheren gebruikmaken van tweefactorauthenticatie (2FA) en heeft daarom besloten verschillende aanpassingen door te voeren. Npm is de standaard package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld.

Via de npm Registry biedt het een groot archief met openbare, besloten en commerciële packages die dagelijks vijf miljard keer worden gedownload. De afgelopen jaren verschenen geregeld malafide npm-packages in de registry. In 2020 bleek dat meer dan negentig procent van npm-ontwikkelaars geen 2FA gebruikte om het eigen account te beveiligen.

Volgens GitHub speelt 2FA een belangrijk rol bij een veilig ecosysteem. Binnenkort zullen ontwikkelaars met "high-impact" accounts, die packages met meer dan 1 miljoen downloads per week beheren, worden verplicht 2FA te gebruiken. Wanneer het gebruik van 2FA hinderlijk is, zullen ontwikkelaars het niet gebruiken, zegt Myles Borins van GitHub, dat eigenaar van npm is. GitHub heeft daarom besloten de "2FA experience" aan te passen.

Op basis van feedback van early adopters zijn er in npm 8.15.0 aanpassingen doorgevoerd die het gebruik van een tweede factor eenvoudiger zouden moeten maken. Zo vindt de authenticatie voor inloggen en publiceren plaats in de browser, is het bij het publiceren van code mogelijk om vijf minuten te worden herkend en zal er bij verdere publicaties vanaf hetzelfde ip-adres met token geen 2FA-prompt meer verschijnen. En is het eenvoudiger om met een bestaande sessie een nieuwe sessie te starten. Deze aanpassingen zouden het eenvoudiger voor gebruikers moeten maken om hun accounts te beschermen, stelt Borins.