Le credenziali per sviluppatori sono i segreti che consentono a un maintainer o a un engineer di accedere ai sistemi di sviluppo e rilasciare software, come password, token API, chiavi SSH, token di pubblicazione e segreti CI. In pratica, sono le chiavi dei registry di pacchetti, dei repository di codice sorgente, delle pipeline di build e delle console cloud.
Sono importanti perché il furto di una sola credenziale valida può conferire a un attaccante la stessa fiducia del vero sviluppatore. In un attacco alla supply chain, questo può consentire caricamenti di pacchetti malevoli, release manomesse o modifiche all'automazione che diffondono codice dannoso attraverso canali legittimi. I difensori riducono questo rischio con l'autenticazione a due fattori, token a breve durata o con ambito limitato, trusted publishing con identità federata, scansione dei segreti e revoca e rotazione rapide quando un segreto viene esposto.