PyPI relooké : signaux de sécurité renforcés
Original : PyPI's redesigned project pages with clearer security signals are now live
Pourquoi c'est important
La supply chain Python touche des millions de projets ; rendre la provenance lisible change concrètement l'exposition au risque.
PyPI a déployé une interface redessinée pour ses pages de projets, avec un onglet dédié à la sécurité affichant la provenance des fichiers et les attestations numériques par release.
Annoncé en juillet 2026, le chantier de refonte de l'interface PyPI est désormais terminé et en ligne. L'initiative fait suite à une recherche utilisateur menée avec des membres de la communauté Python, dans un contexte où la croissance de l'écosystème a rendu PyPI plus attractif pour les acteurs malveillants.
La nouveauté centrale : un onglet « Security » dédié sur chaque page de projet. Il affiche l'état de provenance de chaque release et les attestations numériques par fichier. Ces attestations, introduites en 2024, permettent de vérifier l'origine d'un fichier publié. Deux types sont pris en charge : les attestations PyPI Publish (confirment la publication via un Trusted Publisher) et les attestations SLSA Build Provenance (relient le fichier à un commit source, une plateforme de build et des instructions précises).
PyPI calcule un état de provenance pour chaque release : « Full Provenance » si 100 % des fichiers ont une attestation, « No Provenance » si aucun fichier n'en possède — ce qui est courant pour les projets anciens ou non configurés avec le Trusted Publishing, sans que cela signifie forcément un risque. Des états intermédiaires (incomplète, incohérente, changement ou perte de provenance) complètent le tableau.
Le projet a été réalisé en partenariat avec Kabu Creative, en appliquant les recommandations de l'OpenSSF Attestations Style Guide. La page de détail des releases et l'historique ont également été redessinés.