Normativa · 63 giorni fa
La novità non è una nuova falla. GitHub e PyPI stanno cambiando il tempo di esposizione dei pacchetti, così l’automazione non consuma subito una release appena pubblicata e ha più margine per lasciar emergere un artefatto avvelenato prima che entri nei repository.
Dependabot attenderà tre giorni prima di aprire pull request per i bump non di sicurezza, con possibilità di modifica in dependabot.yml. PyPI, invece, bloccherà l’upload di nuovi file su release più vecchie di 14 giorni, una stretta pensata per rendere meno utile l’abuso di token o workflow compromessi e per impedire che versioni già considerate stabili vengano riscritte.
Per chi pubblica pacchetti Python o si affida a Dependabot, il punto è che la velocità non è più il valore assoluto: il rischio si sposta sulle scelte locali di configurazione e sulla fiducia nelle release vecchie, che non vanno più considerate facilmente modificabili.
2 fonti che coprono questa storia
New GitHub, PyPI Policies Boost Supply Chain Security
Dependabot gets a three-day cooldown window before opening pull requests, and PyPI rejects file uploads to releases older than 14 days.
GitHub, PyPI add time-based defenses against supply chain attacks
GitHub and PyPI (Python Package Index) have introduced a time-based mechanism in the Dependabot dependency management tool to protect against supply-chain attacks and to limit their impact.
Part of the PlainSec briefing for 2026-07-27