De 45 Vulnerabilidades en npm a Riesgo Cero: Por Qué No Debes Ejecutar npm audit fix --force a Ciegas en Sitios Estáticos
Todo desarrollador web moderno ha experimentado ese sobresalto: ejecutas npm audit en tu repositorio y la terminal responde con un mensaje alarmante en rojo:
45 vulnerabilities (15 moderate, 15 high, 15 critical)
To address all issues (including breaking changes), run:
npm audit fix --force
Al ver palabras como Critical, Remote Code Execution (RCE) y Prototype Pollution, el instinto natural es escribir npm audit fix --force para eliminar las advertencias.
Sin embargo, en el mundo de los Generadores de Sitios Estáticos (SSG) como Docusaurus o Next.js alojados en GitHub Pages o AWS S3, hacer esto a ciegas es un error común que rompe la compilación de producción sin mejorar la seguridad real.
En este artículo, definimos el modelo de amenazas en sitios estáticos, explicamos por qué las vulnerabilidades en herramientas de construcción difieren radicalmente de las vulnerabilidades en tiempo de ejecución, y compartimos un plan práctico de seguridad en 4 capas.