Νέο package firewall ελέγχει τις εγκαταστάσεις npm…

Το GitHub παρουσίασε στις 20 Οκτωβρίου 2026 το package firewall, μια υπηρεσία ελέγχου πακέτων λογισμικού πριν αυτά φτάσουν σε περιβάλλοντα ανάπτυξης. Η λειτουργία βρίσκεται σε public preview για πελάτες GitHub Enterprise Cloud, συμπεριλαμβανομένων εκείνων με δυνατότητα data residency. Στην αρχική αυτή φάση υποστηρίζει αποκλειστικά πακέτα npm.

Η υπηρεσία τοποθετείται ανάμεσα στους σταθμούς εργασίας, στους πράκτορες κώδικα ή στους runners συνεχούς ενσωμάτωσης και στα αποθετήρια πακέτων. Ελέγχει αιτήματα μεταδεδομένων και λήψεις βάσει των πολιτικών που ορίζει η επιχείρηση. Για να λειτουργήσει, χρειάζεται τόσο ρύθμιση των κανόνων όσο και διαμόρφωση των αντίστοιχων συστημάτων ώστε να περνούν τις αιτήσεις τους από το firewall.

Στους διαθέσιμους ελέγχους περιλαμβάνονται προειδοποιήσεις για κακόβουλο λογισμικό και ευπάθειες από τη GitHub Advisory Database, καθώς και περίοδος αναμονής για νέες εκδόσεις. Η τεκμηρίωση προσθέτει ελέγχους για πρόσφατα εισαχθέντα scripts εγκατάστασης και για εκδόσεις που δεν διατηρούν προηγούμενες βεβαιώσεις προέλευσης SLSA. Οι κανόνες μπορούν να αποτρέψουν τη λήψη όταν δεν πληρούνται οι προϋποθέσεις.

Η ελάχιστη ηλικία πακέτου έχει προεπιλογή τη μία ημέρα και μπορεί να οριστεί από μία έως 365 ημέρες ή να απενεργοποιηθεί. Η λογική είναι να υπάρχει χρόνος εντοπισμού απειλών πριν από την εγκατάσταση μιας νέας έκδοσης. Αυτό, όμως, μπορεί να καθυστερήσει και μια επιθυμητή αναβάθμιση, οπότε η υπηρεσία προβλέπει διαδικασία αιτήματος εξαίρεσης.

Οι εξαιρέσεις εξετάζονται από διαχειριστές ή υπευθύνους ασφάλειας της επιχείρησης. Η τεκμηρίωση αναφέρει ότι οι εγκεκριμένες παρακάμψεις προστίθενται στην πολιτική και μπορούν αργότερα να αφαιρεθούν. Για μια ομάδα ανάπτυξης, αυτό σημαίνει ότι η προστασία χρειάζεται και οργανωτική διαδικασία: ποιος αποφασίζει, με ποια αιτιολόγηση και πότε μια εξαίρεση παύει να είναι χρήσιμη.

Το GitHub δηλώνει ότι η υπηρεσία είναι δωρεάν κατά την προεπισκόπηση. Όταν περάσει σε γενική διαθεσιμότητα, προβλέπεται χρέωση βάσει μετρημένης χρήσης, κατά το πρότυπο του Actions. Επομένως, η σημερινή δωρεάν πρόσβαση δεν πρέπει να εκληφθεί ως δέσμευση μόνιμης δωρεάν λειτουργίας. Η προεπισκόπηση παραμένει επίσης υπό αλλαγή.

Η πρακτική σημασία της ανακοίνωσης είναι ότι ο έλεγχος μεταφέρεται σε ένα κοινό σημείο πριν από τη λήψη εξαρτήσεων. Δεν αποτελεί εγγύηση ότι κάθε επιτρεπόμενο πακέτο είναι ασφαλές ούτε καλύπτει αιτήματα που παρακάμπτουν τη ρυθμισμένη διαδρομή. Η δική μας εκτίμηση είναι ότι η αξία για μια επιχείρηση θα κριθεί από την κάλυψη των πραγματικών ροών εγκατάστασης, την ποιότητα των πολιτικών και τη διαχείριση των εξαιρέσεων, μαζί με τις υπόλοιπες πρακτικές ελέγχου κώδικα.

Ενδεικτική εικονογράφηση AI· δεν αποτελεί πραγματική φωτογραφία ή στιγμιότυπο της υπηρεσίας.

Πηγή: GitHub — Ανακοίνωση, 20/10/2026, GitHub Docs — Λειτουργία, πολιτικές και εξαιρέσεις.