Wer das Paket verwaltet, registriert in der Registry einen Trusted Publisher (zum Beispiel Repository org/name, Workflow release.yml, optional eine Umgebung); beim Veröffentlichen legt der CI-Job sein OIDC-Token vor, die Registry prüft die Claims und gibt Zugangsdaten zurück, die nur Minuten gültig sind. Es gibt nichts Langlebiges, das aus CI-Logs oder von einem Entwicklerlaptop abfließen könnte; damit setzt das Verfahren beim häufigsten Weg an, über den Pakete gekapert werden.
Registrys kombinieren es mit Provenance: npm veröffentlicht beim Trusted Publishing automatisch Provenance (npm CLI 11.5.1 oder neuer), und die offizielle GitHub Action von PyPI erzeugt standardmäßig Attestierungen nach PEP 740. Schütze auch den Workflow selbst: Pflicht-Reviewer für die Release-Umgebung, gepinnte Actions und Branch-Schutz, denn wer den Workflow in der Hand hat, kann veröffentlichen.