@theoptimalpartner/npm-security-kit 2.0.0-beta.0 → 2.0.0-beta.1

package/CHANGELOG.md

@@ -6,7 +6,9 @@ Cambios del paquete `@theoptimalpartner/npm-security-kit`. Formato basado en
 ## [2.0.0] - sin publicar
 
 Reescritura completa. La v2 es una CLI de Node sin dependencias que corre en el pipeline **antes de `npm ci`**.
-Sale primero como `2.0.0-beta.0`, con el dist-tag `beta`.
+Sale primero como beta (`2.0.0-beta.N`), con el dist-tag `beta`. Desde la `2.0.0-beta.1`, el step del pipeline y
+`init` usan `npx --yes --min-release-age=0`: `npx` no aplica `min-release-age-exclude` y, sin el flag, una versión
+nueva del kit no se puede usar hasta cumplir 7 días.
 
 ### BREAKING
 
@@ -37,7 +39,7 @@ Sale primero como `2.0.0-beta.0`, con el dist-tag `beta`.
    `scripts/security-check.sh`, `.husky/` (y el `"prepare": "husky install"`), los scripts `security:*` del
    `package.json` y el `SECURITY.md` generado.
 2. Si la v1 reemplazó el `bitbucket-pipelines.yml`, recuperar el del repo desde git.
-3. Correr `npx --yes @theoptimalpartner/npm-security-kit@2.0.0 init` y seguir los pasos que imprime (README).
+3. Correr `npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 init` y seguir los pasos que imprime (README).
 
 ## [1.0.2] y anteriores
 

package/README.md

@@ -57,7 +57,7 @@ definitions:
           - npm
         script:
           # Antes de instalar: malware, vulnerabilidades, Node, .npmrc, install scripts, Dockerfiles
-          - npx --yes @theoptimalpartner/npm-security-kit@2.0.0 check
+          - npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 check
           - npm ci            # con strict-allow-scripts, los scripts no aprobados cortan acá
           - npm audit signatures
           - npm run build
@@ -73,10 +73,13 @@ pipelines:
 
 - **Antes de `npm ci`:** `npm audit` funciona solo con el lockfile, así que el malware se detecta antes de que
   corra su `postinstall`.
-- **Versión fija** (`@2.0.0`): subir la política en un repo es un cambio visible en su PR. El scope
-  `@theoptimalpartner/*` está excluido de `min-release-age`, así que un parche del kit se puede usar el mismo día.
+- **Versión fija** (`@2.0.0`): subir la política en un repo es un cambio visible en su PR.
+- **`--min-release-age=0` solo para `npx`:** `npx` no aplica `min-release-age-exclude` (npm 11.19.1 lo aplica al
+  instalar, no al resolver el paquete de `npx`). Sin el flag, dentro de un repo con `min-release-age=7` una versión
+  nueva del kit no se puede usar hasta cumplir 7 días (`ETARGET … with a date before`). Afecta solo al kit: la
+  versión va fija y no tiene dependencias. El `npm ci` que sigue aplica los 7 días como siempre.
 - **`npm audit signatures`** va después de `npm ci` porque necesita `node_modules`.
-- Para guardar el resultado como artefacto: `npx --yes @theoptimalpartner/npm-security-kit@2.0.0 check --json > npm-security-kit.json`.
+- Para guardar el resultado como artefacto: `npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 check --json > npm-security-kit.json`.
 
 ### Dockerfile
 
@@ -95,11 +98,11 @@ Si el `.dockerignore` excluye el `.npmrc` (por ejemplo con `.*`), agregar `!.npm
 Una vez por repo, en una rama:
 
 ```bash
-npx --yes @theoptimalpartner/npm-security-kit@2.0.0 init --dry-run
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 init --dry-run
 ```
 
 ```bash
-npx --yes @theoptimalpartner/npm-security-kit@2.0.0 init
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 init
 ```
 
 `init`:
@@ -116,7 +119,7 @@ Después: revisar el diff, aprobar o negar los install scripts, aplicar el step
 ### En local
 
 ```bash
-npx --yes @theoptimalpartner/npm-security-kit@2.0.0 check
+npx --yes --min-release-age=0 @theoptimalpartner/npm-security-kit@2.0.0 check
 ```
 
 No se instala como devDependency ni usa husky: el `.npmrc` protege el `npm install` local y el pipeline es el

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@theoptimalpartner/npm-security-kit",
-  "version": "2.0.0-beta.0",
+  "version": "2.0.0-beta.1",
   "description": "Revisa el lockfile antes de npm ci: malware, vulnerabilidades, versión de Node, .npmrc, install scripts y Dockerfiles",
   "type": "module",
   "bin": {

package/src/init.js

@@ -85,7 +85,7 @@ export function pipelineStep(kitVersion, nodeVersion) {
       - npm
     script:
       # Antes de instalar: malware, vulnerabilidades, Node, .npmrc, install scripts, Dockerfiles
-      - npx --yes ${PACKAGE}@${kitVersion} check
+      - npx --yes --min-release-age=0 ${PACKAGE}@${kitVersion} check
       - npm ci
       - npm audit signatures
       - npm run build
@@ -227,7 +227,7 @@ export async function runInit(ctx, { dryRun = false, stdout = process.stdout, co
     dryRun ? 'Correr init sin --dry-run.' : 'Revisar el diff: git diff .npmrc package.json',
     'Aprobar o negar los install scripts pendientes.',
     'Agregar el step al pipeline y corregir los Dockerfiles.',
-    `Correr el chequeo completo: npx --yes ${PACKAGE}@${ctx.kitVersion} check`,
+    `Correr el chequeo completo: npx --yes --min-release-age=0 ${PACKAGE}@${ctx.kitVersion} check`,
   ];
   steps.forEach((s, i) => say(`  ${i + 1}. ${s}`));