A Microsoft vai limitar o tempo de vida máximo das novas chaves de API do repositório NuGet.org para apenas 30 dias, uma redução drástica face ao limite anterior de 365 dias. A medida entra em vigor no dia 17 de agosto de 2026, sendo que todas as credenciais criadas antes dessa data vão expirar obrigatoriamente a 1 de novembro de 2026. Segundo revelou a empresa no seu DevBlogs oficial, o objetivo passa por reforçar a segurança da cadeia de abastecimento no ecossistema do .NET e mitigar os riscos associados ao roubo de credenciais de longa duração.
O NuGet funciona como o gestor de pacotes oficial do ecossistema .NET, permitindo aos programadores reutilizarem bibliotecas de código pré-feitas nas suas aplicações. A decisão de encurtar a validade destas chaves surge na sequência de um incidente recente no ecossistema NPM com o pacote NX console, no qual credenciais roubadas foram utilizadas para atualizar maliciosamente o pacote, ativando-o 6.000 vezes em apenas 36 minutos antes de ser removido. Ao restringir o tempo de vida dos acessos, o impacto potencial de uma fuga de credenciais reduz-se consideravelmente, retirando margem de manobra a atacantes.
Autenticação temporária surge como alternativa recomendada
Como alternativa às chaves tradicionais, a empresa recomenda a transição para o NuGet Trusted Publishing. Este mecanismo de autenticação, lançado em setembro de 2025 e baseado no protocolo OpenID Connect, valida tokens de identidade de curta duração com base em políticas configuradas para emitir chaves temporárias. A migração para este sistema já se encontra disponível para fluxos de trabalho no GitHub Actions e no GitLab.
Impacto nos fluxos de trabalho e publicações manuais
Os criadores de pacotes que pretendam continuar a utilizar chaves de API terão de atualizar os seus fluxos automatizados para suportar rotações mais frequentes de credenciais, assegurando que as permissões concedidas a cada chave fiquem estritamente limitadas. Para quem efetua publicações manuais, a recomendação passa por utilizar diretamente a interface web do NuGet.org.
Embora o prazo de 30 dias represente um avanço substancial na proteção do ecossistema, a empresa não descarta a possibilidade de aplicar reduções adicionais no futuro, caso venha a considerar necessário. Contudo, prazos inferiores a um mês poderiam introduzir complexidade excessiva no quotidiano dos programadores.
Nenhum comentário
Seja o primeiro!