La sécurité de la supply chain pour les développeurs est un enjeu essentiel. Microsoft a mis en place depuis le 17 août dernier une durée limitée des clés API utilisés par les paquets NuGet. Désormais, elles ne dépasseront pas 30 jours. Toutes les clés générées avant le 17 août fonctionneront jusqu'au 1er novembre, pas au-delà. Bref, les développeurs doivent se préoccuper dès maintenant des clés et mettre en place un nouveau cycle de vie des clés. L'option 365 jours est désormais supprimée pour les nouvelles clés. 

Pour rappel, une clé API NuGet est comme un mot de passe pour publier les paquets. Sa fuite peut compromettre l'intégrité de vos paquets. "Les identifiants à longue durée de vie sont pratiques, mais ils augmentent considérablement l'impact d'une divulgation accidentelle. Le paquet NPM de la console NX a récemment été compromis à l'aide d'identifiants volés. L'attaquant a publié un paquet malveillant pour la console NX en utilisant ces identifiants. Selon l'équipe de développement NX, le paquet a été activé 6 000 fois en 36 minutes avant d'être désactivé. D'autres attaques similaires ont eu un impact bien plus important." précise l'éditeur. 

Il est recommandé d'utiliser Trusted Publishing. Ce flux de publicaton a été mis en place en septembre 2025. 

L'annonce du changement avait été faite début août. Il aurait été plus pertinent de l'annoncer dès le mois de juin et non en plein été. 

Annonce : https://devblogs.microsoft.com/dotnet/strengthening-nuget-supply-chain-security-reducing-api-key-lifetime/