Una cronologia delle dipendenze è il registro ordinato di quando una dipendenza software è stata pubblicata, installata o aggiornata in un sistema. Può includere timestamp di rilascio dei pacchetti, modifiche al file di lock, eventi di build e log di distribuzione. Nella sicurezza informatica, questa cronologia aiuta a determinare quale versione era presente in un dato momento e se un pacchetto sospetto avrebbe potuto effettivamente influire su un sistema.
È importante perché sia gli attaccanti sia i difensori fanno affidamento sulle prove temporali. Negli attacchi alla supply chain, un pacchetto dannoso può essere considerato colpevole semplicemente perché è l'artefatto visibile più recente, anche quando l'esposizione è iniziata prima tramite un'altra dipendenza o una fase di build. I team di sicurezza usano le cronologie delle dipendenze per ricostruire le finestre di esposizione, verificare la provenienza dei pacchetti, confrontare i dati con la telemetria ed evitare attribuzioni errate. Una cronologia pulita può mostrare se un sistema ha installato una versione sicura, ha introdotto una dipendenza transitiva compromessa oppure si è aggiornato dopo il compromesso iniziale.