Un confine di fiducia del marketplace è la lacuna tra fidarsi del fatto che un pacchetto sia presente in un marketplace software e verificare che una determinata versione del pacchetto sia autentica e inalterata. La presenza nell'elenco o il nome di un editore noto non dimostrano che ogni versione sia sicura.
Questo è importante perché le estensioni e altri strumenti per sviluppatori possono essere eseguiti con accesso a file, processi o risorse di rete. Gli aggressori possono sfruttare le debolezze nei processi di pubblicazione o aggiornamento per distribuire una versione manomessa tramite un canale di cui gli utenti normalmente si fidano. I responsabili della difesa dovrebbero verificare l'identità e la provenienza del pacchetto, tenere traccia delle versioni esatte, esaminare gli aggiornamenti e indagare su comportamenti inattesi, come modifiche inspiegabili alla configurazione SSH.