OpenSSF exige a las grandes empresas que financien PyPI, npm y el resto de registros públicos
GitHub, Google, IBM, Microsoft y Sonatype firman un compromiso que da por agotado el modelo actual de donaciones y créditos de infraestructura para los registros de paquetes.
El consejo rector de OpenSSF ha dejado de pedir ayuda y ha pasado a exigirla. En el compromiso que firman GitHub, Google, IBM, Microsoft y Sonatype, entre otros, la fundación sostiene que el modelo de financiación de los registros públicos de paquetes ya no se sostiene y reclama a las empresas que los consumen a escala que pongan dinero.
El argumento es de infraestructura crítica: todo el que construye software depende de estos repositorios, pero se les exige seguridad, disponibilidad, cumplimiento y una buena experiencia de desarrollo sin que nadie pague por ello de forma recurrente.
Los números que sostienen la queja
PyPI, Maven Central, crates.io, RubyGems, npm y NuGet sirven en conjunto billones de descargas al año, y el volumen crece entre un 30% y un 50% anual. En lo que va de ejercicio se han detectado 1,8 millones de paquetes maliciosos. OpenSSF añade otro factor a la ecuación: las vulnerabilidades descubiertas con ayuda de IA dispararán entre tres y cinco veces los eventos de publicación, porque habrá más versiones y actualizaciones empujadas a estos registros.
Al mismo tiempo, muchos de ellos siguen apoyados en créditos de infraestructura donados y en equipos de dos o tres personas. El resultado, según la fundación, es un riesgo creciente de caídas, tiempos de respuesta más lentos ante amenazas y menos visibilidad sobre la cadena de suministro de software.
Qué compraría el dinero
Con ingresos recurrentes y previsibles, los registros podrían ofrecer niveles de servicio de verdad: canales de soporte dedicados, acceso privado o emparejado para consumidores de gran volumen, caché y distribución optimizadas para los paquetes más demandados. También analítica avanzada sobre patrones de publicación y consumo, controles de cumplimiento y políticas con registros de auditoría, y sobre todo seguridad: firma de artefactos, publicación de confianza, escaneo y cuarentena de malware, atestaciones de procedencia de build, generación de SBOM y VEX, detección de amenazas y SLA de respuesta a incidentes.
"Estas son el tipo de capacidades que los registros pueden ofrecer cuando tienen recursos para operar más allá del modo supervivencia", resume OpenSSF, que insiste en que el acceso gratuito para desarrolladores individuales y organizaciones pequeñas se mantiene.
El modelo apunta a clientes comerciales de gran tamaño, y la fundación aclara que no compromete a cada registro con precios, condiciones o niveles concretos. Es decir, no hay tarifas publicadas ni plazos: es una declaración de intenciones con firmas detrás.
El problema de fondo lleva años sobre la mesa y tiene nombre: quien mantiene la infraestructura sobre la que todos construyen no cobra a quien más se beneficia de ella. Lo que cambia aquí es que los grandes consumidores del ecosistema admiten por escrito que esa cuenta no cuadra. Queda por ver si la firma se traduce en contratos, porque de las capacidades prometidas ninguna existe sin alguien que la pague.
