O dono do pacote cadastra um publicador confiável (trusted publisher) no registro (por exemplo, o repositório org/name, o workflow release.yml e, opcionalmente, um ambiente); na hora da publicação, o job de CI apresenta seu token OIDC, o registro verifica as claims e devolve uma credencial válida por minutos. Não existe nada de longa duração que possa vazar de logs de CI ou do laptop de um desenvolvedor, o que elimina a via mais comum de sequestro de pacotes.
Os registros combinam o recurso com a proveniência: o npm publica a proveniência automaticamente na publicação confiável (npm CLI 11.5.1 ou posterior), e a GitHub Action oficial do PyPI gera atestados PEP 740 por padrão. Proteja o próprio workflow: revisores obrigatórios no ambiente de release, actions fixadas e proteção de branches, porque quem controla o workflow pode publicar.