Tokens npm que solo pueden dejar paquetes en stage
GitHub suma un permiso de token granular para npm que separa el staging del publish real, pensado para automatizar sin darle a un workflow la capacidad de publicar directo.
Qué permite el nuevo permiso
Al crear un token de acceso granular en npm ahora podés elegir Read and write (stage only). Con ese token, tu workflow puede usar npm stage publish para dejar una versión lista, pero npm rechaza cualquier intento de npm publish directo con ese mismo token, incluso si está configurado para saltar 2FA. La aprobación final queda en manos de un maintainer, que revisa lo staged y confirma con 2FA.
Lo que el token sigue pudiendo hacer
Un token stage-only no pierde otros permisos de escritura sobre el paquete: puede mover dist-tags y deprecar versiones. Por eso las notas aclaran que hay que protegerlo con el mismo cuidado que a cualquier otro token de escritura, no es un token de solo lectura disfrazado.
Cómo migrar tu automatización
El cambio es opt-in y no afecta tokens existentes ni su capacidad de publish directo. La movida se relaciona con que npm apunta a eliminar en enero de 2027 el publish directo vía tokens con bypass de 2FA, así que si todavía no podés pasarte a trusted publishing, esto te da un camino intermedio. Los pasos son: crear un token con permiso stage-only para los paquetes que necesita tu workflow, reemplazar el token de publish actual y cambiar npm publish por npm stage publish, y que un maintainer revise y apruebe con 2FA lo que quedó staged.
1. Create a granular access token with Read and write (stage only) permissions for the packages your workflow needs.2. Replace your workflow’s publishing token and use `npm stage publish` instead of `npm publish`.3. Have a maintainer review and approve staged versions with 2FA.Requisitos para usarlo
Staged publishing funciona con paquetes npm existentes. Necesitás acceso de publish al paquete, 2FA habilitado en tu cuenta de npm, npm CLI 11.15.0 o superior, y Node.js 22.14.0 o superior.
What you get
Un token stage-only puede dejar versiones listas pero no publicarlas directo al registro
Un maintainer tiene que aprobar cada versión staged con 2FA antes de que salga
El token igual conserva permisos como mover dist-tags o deprecar versiones, cuidalo igual
Es un puente hacia trusted publishing antes de que npm corte el bypass de 2FA en enero de 2027
Want a class on this?
If enough people ask for it, it goes on the schedule. No email, no name needed.