PyPI verrouille vos anciennes releases — et c'est une bonne nouvelle pour votre code

Imaginez un monde où votre code, une fois publié, ne peut plus être modifié à votre insu. C'est désormais une réalité sur PyPI, l'index officiel des paquets Python. Depuis peu, toute tentative d'ajouter un fichier à une release âgée de plus de 14 jours est automatiquement bloquée. Une mesure discrète mais puissante, conçue par Seth Larson, développeur sécurité à la Python Software Foundation, pour contrer les tokens volés et les attaques par supply chain.

Pourquoi est-ce une bonne nouvelle ? Parce que cette protection s'active sans que vous ayez à lever le petit doigt. Plus besoin de surveiller manuellement vos anciennes versions ou de craindre qu'un attaquant ne glisse un malware dans un paquet oublié. Comme l'explique Korben, cette approche « silencieuse » est typique des solutions qui respectent le flux de travail des développeurs : elle sécurise sans complexifier.

Concrètement, cela change quoi pour vous ? Si vous utilisez des dépendances Python, vous pouvez dormir sur vos deux oreilles : les risques de contamination via des paquets compromis viennent de chuter. Et si vous publiez du code, c'est l'occasion de vérifier que vos tokens d'authentification sont bien protégés — une habitude saine, comme on le rappelle souvent dans les bonnes pratiques de vie privée.

Une initiative qui rappelle que la sécurité numérique n'a pas besoin d'être intrusive pour être efficace. Elle peut même se faire discrète, comme un garde du corps qui veille sans se faire remarquer. Et ça, c'est une philosophie qui nous parle.