¿Qué ocurre cuando una versión de software que ya utilizamos pueda cambiar sin que cambie su nombre? Solucionex, empresa tecnológica alojada en AldeaLab, analiza en su blog una importante novedad introducida por Packagist, el principal repositorio de paquetes para PHP.
A partir de ahora, las versiones estables publicadas en Packagist serán inmutables. Esto significa que cada versión quedará vinculada definitivamente al código con el que fue publicada y no podrá modificarse posteriormente trasladando su etiqueta a otro commit.
El cambio resulta especialmente relevante para empresas y profesionales que trabajan con PHP, Composer, Laravel, Symfony o Drupal, ya que reduce el riesgo de que una versión aparentemente fiable termine incorporando un código diferente —e incluso malicioso— sin alterar su numeración.
Si alguien intenta modificar una versión ya publicada, Packagist conservará la referencia original, bloqueará el cambio y dejará constancia de lo sucedido en un registro público de transparencia. También será posible conocer y recuperar versiones eliminadas, reforzando así la trazabilidad de los paquetes.
Desde Solucionex recuerdan, no obstante, que esta medida no elimina todos los riesgos. Una nueva versión puede contener código malicioso desde su publicación inicial y las versiones de desarrollo, como dev-main, continuarán siendo modificables.
Por ello, la empresa cacereña recomienda adoptar varias precauciones: utilizar versiones estables en producción, activar el doble factor de autenticación y conservar correctamente el archivo composer.lock.
Consulta el análisis completo en el blog de Solucionex
