ضوابط وقت التثبيت هي إعدادات CLI تقيد مصادر الحزم التي سيقبلها npm أثناء التثبيت. وبدلا من السماح للمشروع بجلب الشيفرة من أي موقع مدعوم، يمكن لهذه الضوابط أن تقتصر عمليات التثبيت على مصادر معتمدة مثل المستودع، وأن تمنع مدخلات مثل مراجع git أو المسارات المحلية أو عناوين URL البعيدة أو الحزم القائمة على الملفات.
وتكتسب أهميتها لأن خطوة التثبيت تمثل في كثير من الأحيان حدود ثقة شائعة في سلاسل توريد البرمجيات. ويمكن للمهاجمين استغلال مصادر التبعيات المرنة لتمرير شيفرة غير خاضعة للمراجعة، أو تلويث عمليات البناء، أو استغلال الأتمتة التي تقبل التبعيات على نطاق أوسع من اللازم. ومن خلال تضييق المصادر المسموح بها، تقلل الفرق من التعرض غير المقصود وتجعل إدخال الحزم الخبيثة أو غير المتوقعة أصعب. ومن ناحية الدفاع، تعمل هذه الضوابط على أفضل وجه عند إقرانها بمراجعة الشيفرة، وتثبيت التبعيات، وسياسات بناء واضحة، لأنها تحدد فقط من أين يمكن أن تأتي الشيفرة، لكنها لا تتحقق من أن الشيفرة نفسها آمنة.