PyPI Perbarui Tampilan Halaman Paket dengan Sinyal Keamanan
Judul asli: PyPI's redesigned project pages with clearer security signals are now live
Mengapa Ini Penting
Kejelasan sinyal keamanan paket open source memengaruhi jutaan developer dan rantai pasok perangkat lunak global.
PyPI meluncurkan desain ulang halaman proyek per 6 November 2026, menampilkan tab keamanan baru yang menampilkan status provenance dan attestasi digital per file.
PyPI menyelesaikan serangkaian pembaruan antarmuka yang diumumkan sejak Juli 2026. Perubahan ini lahir dari riset pengguna bersama komunitas Python dan dikerjakan bersama Kabu Creative, mengimplementasikan rekomendasi dari OpenSSF Attestations Style Guide.
Fitur utama adalah tab Security baru di halaman detail proyek. Tab ini menghitung status provenance setiap rilis dengan memeriksa apakah tiap file memiliki attestasi. Ada dua status utama: 'Full Provenance' berarti 100% file rilis memiliki attestasi — baik PyPI Publish attestations (mengonfirmasi file diterbitkan via Trusted Publisher) maupun SLSA Build Provenance attestations (menghubungkan file ke commit sumber, platform build, dan instruksinya). Status 'No Provenance' berarti tidak ada file yang ber-attestasi, lazim terjadi pada rilis lama atau proyek yang belum mengonfigurasi Trusted Publishing — dan ini tidak otomatis berarti paket berbahaya.
Sistem juga mengenali kondisi peringatan seperti Incomplete, Inconsistent, Change of Provenance, dan Loss of Provenance. Attestasi digital sendiri diperkenalkan PyPI sejak 2024 sebagai rekam jejak verifikasi asal file rilis, namun konsep ini masih asing bagi banyak pengguna — dan antarmuka lama dinilai tidak memadai dalam mengomunikasikan maknanya.