S5 — Qui publica atestacions a PyPI i npm, i qui ha deixat de fer-ho?

Resum

Les atestacions PEP 740 permeten a qualsevol comprovar que un fitxer de PyPI l'ha construït un repositori i un flux de treball identificats. El més habitual és no publicar-ne. Vam mesurar, el 2026-10-02:

l'historial complet de pujades dels 15.000 projectes més descarregats de PyPI (la llista de hugovk del 2026-10-01);
la identitat del publicador de cada projecte amb atestacions (PyPI Integrity API);
una mostra de 1.500 paquets npm.

Dels 14.995 projectes que vam poder analitzar, 11.336 (75,6 %) no han pujat mai cap fitxer amb atestació.

Adopció. L'última versió té atestació en 3.479 de 14.995 projectes (23,2 %), i en el 31,1 % dels projectes l'última versió dels quals es va pujar per primera vegada després del 2024-10-01. Per franja de posició:

posicions	última versió amb atestació
1–100	59,0 %
10.001–15.000	20,3 %

La proporció de projectes l'última versió dels quals té atestació va passar del 4,0 % (finals de novembre de 2024) al 23,2 % (finals de setembre de 2026). Coincidim amb Are we PEP 740 yet?, de Trail of Bits, en 359 dels seus 360 paquets.

Projectes que van deixar de fer-ho. 148 projectes van pujar un fitxer amb atestació i després van publicar versions sense. En 138, la línia que instal·la pip tenia atestacions i la seva última versió no en té cap: el 3,8 % dels 3.659 projectes que n'han publicat alguna vegada. Per causa:

causa	projectes
canvi d'eina o de flux de treball	96
una sola versió aïllada	15
atestació restablerta després de l'última versió	1
desconeguda	26

En 53 dels canvis d'eina o de flux de treball, el flux de publicació executa ara uv publish sense cap pas d'atestació. Exemples, cadascun avalat per un commit a paper.md §5.3: fastapi, typer, fastmcp i supabase. Deixar de publicar atestacions és un canvi en les eines de publicació, no un indici de compromís de seguretat.

Canvis de publicador. Almenys 307 projectes amb atestacions van canviar de publicador. Dels 188 canvis que travessen repositoris o tipus de publicador:

160 estan confirmats per dades públiques;
16 són coherents amb les metadades del mateix projecte;
12, en 5 projectes, no estan confirmats.

npm. El 30,8 % dels 1.000 paquets principals publica procedència (provenance); 4 dels 459 paquets que ho havien fet alguna vegada (0,9 %) han deixat de fer-ho.

Treballs previs. La mesura existent més propera és el tauler de seguiment de Trail of Bits, que cobreix l'última versió dels 360 primers paquets de PyPI. Aquest estudi hi afegeix la distribució més enllà d'aquests 360, l'historial, els abandonaments i les seves causes, i l'auditoria de publicadors (paper.md §2).

Automatització i revisió. Agents d'IA van fer l'estudi i van redactar el text. Un revisor d'IA independent el va comprovar (paper.md §4.1).

Cita aquest estudi

Citació

EasyxLab (2026). Who publishes attestations on PyPI and npm — and who stopped? Study S5. EasyByte Hub S. Coop. Mad. https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations

BibTeX

@techreport{easyxlab_s5,
  title       = {Who publishes attestations on PyPI and npm — and who stopped?},
  author      = {{EasyxLab}},
  institution = {EasyByte Hub S. Coop. Mad.},
  number      = {S5},
  year        = {2026},
  url         = {https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations}
}