PyPI, 보안 신호 강화한 UI 개편 완료
원제: PyPI's redesigned project pages with clearer security signals are now live
왜 중요한가
오픈소스 패키지 공급망 보안이 업계 화두인 가운데, PyPI의 출처 정보 가시화는 악성 패키지 탐지를 위한 실질적 기준점을 제시한다.
Python Package Index(PyPI)가 2026년 11월 6일 패키지 보안 정보를 명확히 표시하는 개편된 프로젝트 페이지를 공개했다. 디자이너 Nicole Harris가 주도한 이번 업데이트는 Kabu Creative와의 협업으로 완성됐으며, OpenSSF Attestations Style Guide 권고안을 반영해 릴리스 출처(provenance) 상태를 전용 보안 탭에서 한눈에 확인할 수 있도록 했다.
PyPI는 2026년 7월 UI 개편 계획을 예고한 뒤, Python 커뮤니티 사용자 리서치를 바탕으로 작업을 진행해 이번에 최종 완료를 발표했다.
핵심은 새로운 '보안 탭(Security Tab)'이다. 릴리스 파일별로 attestation(디지털 증명) 존재 여부를 검사해 출처 상태를 계산하고, 이를 사용자에게 직관적으로 보여준다. 출처 상태는 크게 두 가지로 나뉜다. '완전한 출처(Full Provenance)'는 릴리스 파일 100%에 attestation이 존재하는 경우로, PyPI Trusted Publisher를 통한 게시를 확인하는 'PyPI Publish attestation'과 소스 커밋·빌드 플랫폼·빌드 지침을 연결하는 'SLSA Build Provenance attestation' 둘 다 지원한다. 반면 '출처 없음(No Provenance)'은 attestation이 하나도 없는 상태로, 오래된 릴리스나 Trusted Publishing을 아직 설정하지 않은 프로젝트에서 흔히 나타난다.
PyPI는 2024년 디지털 attestation 기능을 처음 도입했으나, 많은 사용자가 그 개념과 중요성을 이해하지 못한다는 한계가 있었다. 이번 UI 개편은 바로 그 간극을 메우기 위한 것이다. 보안 탭 외에도 프로젝트 상세 페이지 전반과 릴리스 파일, 릴리스 히스토리 화면도 함께 개선됐다.