Un token di accesso npm è una credenziale usata per autenticarsi al registro npm. Può concedere autorizzazioni come l'installazione di pacchetti privati, la pubblicazione di nuove versioni o la gestione dei metadati del pacchetto, a seconda dell'ambito a cui è associato. Poiché si trova nel percorso della distribuzione software, un token esposto è un obiettivo di alto valore.
Negli attacchi alla supply chain, i token npm rubati possono consentire a un aggressore di pubblicare una release malevola sotto il nome di un pacchetto affidabile o di alterare il flusso di lavoro del proprietario di un pacchetto. I difensori riducono questo rischio usando l'ambito del token più ristretto possibile, memorizzando i token in archivi protetti di segreti, ruotandoli regolarmente e limitando dove possono essere usate le credenziali di pubblicazione. Trattare i token del registro come segreti di produzione aiuta a impedire che un aggiornamento di pacchetto diventi un canale di distribuzione per malware.