PyPIのプロジェクトページを刷新、セキュリティタブでパッケージの出所を確認し異常を警告(blog.pypi.org)

- Pythonのパッケージリポジトリ PyPI が、プロジェクトページにセキュリティタブを新設した。ダウンロードするファイルを誰がどこで作成したかを証明する記録(来歴証明)を、ファイルごとに確認できる。 - すべてのファイルに証明があれば「完全な来歴証明」、一つもなければ「来歴証明なし」と表示する。PyPIは、「なし」は悪意があるという意味ではなく、出所を暗号的に検証できないという意味だと説明している。 - 一部のファイルにしか証明がない場合、前のリリースと出所のリポジトリが異なる場合、または証明が消えた場合は、ページ上部に警告を表示する。アカウント乗っ取りの可能性もあるため、PyPIはインストール前の確認を勧めている。 - リリースファイルのタブに検索とフィルターが追加され、リリース履歴にはファイル数と来歴証明の状態が表示される。この作業はOpenSSFの資金でKabu Creativeが実装した。