Publier avec npm publish --provenance (automatique avec la publication de confiance, ou trusted publishing) depuis GitHub Actions ou GitLab CI crée une attestation in-toto signée avec un certificat Sigstore délivré pour l’identité du workflow et journalisée dans Rekor ; le registre la conserve et affiche un badge de provenance. npm audit signatures vérifie les signatures du registre et les attestations de provenance des paquets installés.
La provenance n’est disponible que pour les paquets publics construits à partir de dépôts publics. Elle ne garantit pas le code lui-même, et un workflow compromis produit toujours une provenance valide, mais elle empêche un jeton volé de publier depuis un autre endroit une version « avec provenance ». Le vérificateur de provenance npm affiche l’attestation d’une version de paquet et sa source.