20 октября 2026 года GitHub представил Package Firewall в статусе public preview. Это промежуточный слой между средой разработки или сборки и реестром пакетов. На Mentoring.digital разбираем, где появляется новая проверка и почему её нельзя считать автоматически включённой защитой всех зависимостей.
Что проверяет сервис
Администратор задаёт политики: период ожидания для новых выпусков, проверку предупреждений GitHub Advisory Database и признаки изменения гарантий происхождения пакета. Затем рабочие станции, CI и программирующие агенты нужно направить через сервис. Проверяются запросы метаданных и загрузки пакетов.
Практический смысл для команды: решение о допустимости зависимости принимается до её попадания в среду установки. Но наличие функции в кабинете ещё не означает, что конкретный runner использует нужный маршрут. Это стоит проверять отдельно на выбранном процессе сборки.
Кому доступен preview
На момент анонса поддерживаются только npm-пакеты. Preview открыт клиентам GitHub Enterprise Cloud, включая вариант с размещением данных в выбранном регионе. На период preview сервис бесплатен; после общей доступности заявлена оплата по измеренному использованию. Тарифы будущего периода в анонсе не приведены.
Это не универсальный фильтр всех языковых экосистем. Нельзя переносить заявленную поддержку npm на Python, Maven или другие реестры. При ошибочной блокировке предусмотрен запрос исключения.
Что проверить перед подключением CI
Сначала составьте список источников пакетов и мест установки: локальная разработка, контейнерная сборка, CI и агент. Затем выберите один процесс для проверки маршрута, согласуйте политику ожидания и обработку отказа. Это редакционный порядок подготовки, а не результат испытаний сервиса.
Не смешивайте исключение для нужного пакета с отключением контроля всей сборки. Полезно заранее определить, кто проверяет причину блокировки и как фиксируется решение. Для разбора JavaScript-зависимостей можно обратиться к наставнику по JavaScript. Новый фильтр дополняет управление зависимостями, но сам анонс не подтверждает отсутствие вредоносного кода в проекте.
