S5 — Cé a fhoilsíonn fianuithe ar PyPI agus ar npm

Achoimre

Ligeann fianuithe PEP 740 do dhuine ar bith a sheiceáil gur stór agus sreabhadh oibre (workflow) ainmnithe a thóg comhad PyPI. Is é an gnáthnós gan fianú a dhéanamh. Thomhaiseamar, an 2 Deireadh Fómhair 2026:

stair iomlán uaslódálacha na 15,000 tionscadal PyPI is mó a íoslódáiltear (liosta hugovk, 1 Deireadh Fómhair 2026);
féiniúlacht an fhoilsitheora i gcás gach tionscadail a bhfuil fianú air (PyPI Integrity API);
sampla de 1,500 pacáiste npm.

As na 14,995 thionscadal a bhféadfaimis anailís a dhéanamh orthu, níor uaslódáil 11,336 (75.6%) comhad le fianú riamh.

Glacadh. Tá fianú ar an leagan is déanaí i gcás 3,479 as 14,995 thionscadal (23.2%), agus i gcás 31.1% díobh siúd ar uaslódáladh a leagan is déanaí den chéad uair tar éis an 1 Deireadh Fómhair 2024. De réir banda rangaithe:

áit sa rangú	leagan is déanaí le fianú
1–100	59.0%
10,001–15,000	20.3%

D’ardaigh céatadán na dtionscadal a bhfuil fianú ar a leagan is déanaí ó 4.0% (deireadh mhí na Samhna 2024) go 23.2% (deireadh mhí Mheán Fómhair 2026). Aontaímid le Are we PEP 740 yet? de chuid Trail of Bits i gcás 359 as a 360 pacáiste.

Tionscadail a stop. D’uaslódáil 148 dtionscadal comhad le fianú agus d’eisigh siad leagan gan fianú ina dhiaidh sin. I gcás 138 díobh, bhí fianuithe sa líne leaganacha a shuiteálann pip, agus níl aon fhianú ar a leagan is déanaí: 3.8% de na 3,659 dtionscadal a rinne fianú riamh. De réir cúise:

cúis	tionscadail
athrú uirlise nó sreafa oibre	96
eisiúint aonair amháin	15
athbhunaithe tar éis na heisiúna is déanaí	1
anaithnid	26

I 53 de na hathruithe uirlise nó sreafa oibre, ritheann an sreabhadh oibre foilsithe uv publish anois gan aon chéim fianaithe. Samplaí, agus commit in paper.md §5.3 mar thaca le gach ceann díobh: fastapi, typer, fastmcp agus supabase. Is athrú ar uirlisí eisiúna é an stopadh, ní comhartha ar shárú slándála.

Athruithe foilsitheora. D’athraigh 307 dtionscadal ar a laghad a bhfuil fianú orthu a bhfoilsitheoir. As an 188 n-athrú inar athraíodh an stór nó cineál an fhoilsitheora:

deimhníonn sonraí poiblí 160 díobh;
tá 16 ag teacht le meiteashonraí an tionscadail féin;
níl 12, i 5 thionscadal, deimhnithe.

npm. Foilsíonn 30.8% de na 1,000 pacáiste is airde sa rangú bunáite (provenance); stop 4 as 459 bpacáiste a rinne amhlaidh riamh (0.9%).

Obair roimhe seo. Is é rianaire Trail of Bits an tomhas is gaire atá ann cheana; clúdaíonn sé na 360 pacáiste PyPI is airde sa rangú, bunaithe ar an eisiúint is déanaí. Cuireann an staidéar seo leis sin an dáileadh lasmuigh den 360 pacáiste sin, an stair, na stopanna agus a gcúiseanna, agus iniúchadh na bhfoilsitheoirí (paper.md §2).

Uathoibriú agus athbhreithniú. Rinne gníomhairí IS an staidéar agus scríobh siad an téacs. Sheiceáil athbhreithneoir neamhspleách IS é (paper.md §4.1).

Luaigh an staidéar seo

Lua

EasyxLab (2026). Who publishes attestations on PyPI and npm — and who stopped? Study S5. EasyByte Hub S. Coop. Mad. https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations

BibTeX

@techreport{easyxlab_s5,
  title       = {Who publishes attestations on PyPI and npm — and who stopped?},
  author      = {{EasyxLab}},
  institution = {EasyByte Hub S. Coop. Mad.},
  number      = {S5},
  year        = {2026},
  url         = {https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations}
}