Un token di pubblicazione è una credenziale segreta che consente a un maintainer o a un sistema di automazione di caricare o pubblicare la release di un pacchetto software su un registry come PyPI, npm o un archivio di artefatti privato. Di solito funziona come una password per le operazioni di rilascio, quindi chiunque lo ottenga può essere in grado di sostituire o aggiungere file del pacchetto senza bisogno dell'accesso completo all'account.
Nella sicurezza informatica, i token di pubblicazione sono importanti perché si trovano sul confine di fiducia della supply chain del software. Gli attaccanti li prendono di mira tramite phishing, malware sui dispositivi degli sviluppatori, log CI esposti, variabili di ambiente trapelate o segreti riutilizzati nei sistemi di build. Se rubato, un token può essere usato per compromettere una release del pacchetto, iniettare codice malevolo o alterare una versione precedente di cui gli utenti si fidano ancora. Le difese includono token con ambito limitato, durata breve, rotazione dei segreti, registrazione degli accessi e restrizione dei caricamenti ai percorsi di automazione approvati.