PyPI के नए पेज में सुरक्षा संकेत अब स्पष्ट
मूल शीर्षक: PyPI's redesigned project pages with clearer security signals are now live
यह क्यों महत्वपूर्ण है
supply chain attacks बढ़ने के बीच PyPI पर provenance की पारदर्शिता Python developers की सुरक्षा के लिए अहम कदम है।
Python Package Index (PyPI) ने 6 नवंबर 2026 को अपने project detail pages का नया UI लॉन्च किया। जुलाई में घोषित इस बदलाव में एक नया Security Tab और provenance states जोड़े गए हैं।
PyPI ने Python community के सदस्यों के साथ user research के आधार पर अपने project pages को फिर से डिज़ाइन किया है। इसका मुख्य उद्देश्य सुरक्षा संकेतों को अधिक स्पष्ट रूप से प्रस्तुत करना है।
सबसे बड़ा बदलाव है नया Security Tab, जो प्रत्येक release की provenance state दिखाता है और file-level attestations प्रदर्शित करता है। PyPI ने 2024 में digital attestations की शुरुआत की थी, लेकिन अधिकांश उपयोगकर्ता इनसे अनजान थे और पुरानी UI इन्हें स्पष्ट नहीं करती थी।
Provenance के दो मुख्य states हैं — Full Provenance और No Provenance। Full Provenance का अर्थ है कि release की 100% files में attestations मौजूद हैं। इसमें PyPI Publish attestations (जो Trusted Publisher द्वारा publish को confirm करते हैं) और SLSA Build Provenance attestations (जो file को उसके exact source commit और build platform से जोड़ते हैं) शामिल हैं। No Provenance का मतलब यह नहीं कि package दुर्भावनापूर्ण है — यह अक्सर पुराने releases या ऐसे projects में होता है जिन्होंने Trusted Publishing अभी configure नहीं किया।
इसके अलावा Incomplete, Inconsistent, Change of Provenance, और Loss of Provenance जैसी warning states भी शामिल हैं। PyPI ने इस काम के लिए Kabu Creative के साथ साझेदारी की और OpenSSF Attestations Style Guide की सिफारिशों को लागू किया।