Publicar con npm publish --provenance (automático con la publicación de confianza, trusted publishing) desde GitHub Actions o GitLab CI crea una atestación in-toto firmada con un certificado de Sigstore para la identidad del flujo de trabajo y registrada en Rekor; el registro de npm la guarda y muestra una insignia de procedencia. npm audit signatures verifica las firmas del registro y las atestaciones de procedencia de los paquetes instalados.
La procedencia solo está disponible para paquetes públicos compilados desde repositorios públicos. No avala el código en sí, y un flujo de trabajo comprometido sigue produciendo una procedencia válida, pero impide que un token robado publique desde otro lugar una versión «con procedencia». El comprobador de procedencia de npm muestra la atestación de una versión de un paquete y su origen.