話題
2026年11月15日
PyPIが新デザインの配布ページ公開、来歴表示に賛否
Python のパッケージ公開基盤 PyPI が、配布ページのデザインを見直し、ビルドの来歴(Provenance)やセキュリティ関連の表示を分かりやすくしたと11月6日のブログで発表した。これを受けて Hacker News では、来歴表示がどの仕組みに基づいているかや実際にどこまで安全性を保証するのかをめぐって議論になった。来歴表示が結局 GitHub Actions のような大手クラウド基盤への依存を前提にしている点への不満、ソース配布とホイールでアイコン表示が食い違う不具合、そしてこの仕組みが「乗っ取られたプロジェクト」は検知できても最初から悪意のあるプロジェクトは検知できないという指摘が交わされ、評価と疑問が入り混じる展開になった。
PyPI、セキュリティ表示を分かりやすくした新デザインの配布ページを公開
出典: blog.pypi.org / 元記事はこちら
2
海外の名無しさん
2026-11-14 17:49
信頼の仕組みの話が結局「大手クラウドを使う」という一点に集約されていて、実質的にロックインを助長しているのがあまり好きになれない。自分の理解は合っている？Pythonらしさに反している気がする。
13
海外の名無しさん
2026-11-14 17:54
残念だけど、ビッグテックやVCによる支配・依存に完全には乗っていない開発者たちは、もう少数派のニッチな存在になっていると思う。
3
海外の名無しさん
2026-11-14 16:35
例を挙げると、dlt（来歴表示なし）: https://pypi.org/project/dlt/#files、datasette（来歴表示あり）: https://pypi.org/project/datasette/#files
14
海外の名無しさん
2026-11-14 17:04
ソース配布（sdist）にはアイコンが付くのに、ホイール（wheel）には付いていない。おかしいし分かりにくい。
26
海外の名無しさん
2026-11-14 17:29
おそらくモバイル表示のバグだと思う（デスクトップのブラウザでは再現しない）。こちらでissueを立ててもらえますか？ https://github.com/pypi/warehouse/issues/new?template=bug-re…
27
海外の名無しさん
2026-11-14 17:26
自分には両方にアイコンが見えている。ただ表示位置が違っていて、ホイールの方は名前の下、ソースの方は名前の横に出ている。
5
海外の名無しさん
2026-11-14 16:55
PyPIが来歴情報の表示をこれだけ重視するようになったのは良いことだと思う。Trusted Publishingがreusable workflowsにも対応してくれたら、もっと嬉しいんだけど（https://github.com/pypi/warehouse/issues/11096）。
16
海外の名無しさん
2026-11-14 17:44
PGP署名さえあればよかったのに。……ああ、そういえばあったね。
6
海外の名無しさん
2026-11-14 18:00
いいニュース！Homebrew（brew）にも来歴表示が来てほしい。
7
海外の名無しさん
2026-11-14 16:20
これは、もともと無害だったプロジェクトのPyPI上のエントリが乗っ取られた場合（秘密鍵自体は盗まれていないケース）を検知する仕組みであって、最初から悪意のあるプロジェクトを検知するものではない。
18
海外の名無しさん
2026-11-14 17:28
あと、リリースビルドをGitHub.com/GitLab.comから他に移そうとした『大胆な』プロジェクトを検知する仕組みでもある。
8
海外の名無しさん
2026-11-14 16:51
本題とは直接関係ないけど、Material for MkDocsからZensicalに切り替わった。Python向けの主要な（というより最大級の）ドキュメントシステムの一つが、ユーザーコミュニティを完全に突き放してしまい、このフォークにつながったのは残念だ。
19
海外の名無しさん
2026-11-14 17:42
READMEやホームページを見る限り、かなり大きな意見の対立が煮詰まっていたんだろうね。UIの方向性もあまり好きになれない感じ。
12
海外の名無しさん
2026-11-14 16:45
こんなページ、誰も見てないでしょ
25
海外の名無しさん
2026-11-14 17:42
その通り。だから下げられてる（downvote）んだろうね。
22
海外の名無しさん
2026-11-14 18:04
あまりに省略した言い方なので、本当に何を言いたいのか/提案したいのか読み解けない。要するに、悪意ある人物も証明（attestation）プロセスを通過できてしまうから、証明済みのコードでもマルウェアである可能性がある、と言いたいのかな？
24
海外の名無しさん
2026-11-14 17:40
これがトップコメントになるべきだと思う。PyPIはいつも通りやらかして、プロジェクトについての誤った情報を広めている。
28
海外の名無しさん
2026-11-14 18:03
そのうち『PGoogleP』でも実装するんじゃない？秘密鍵がGoogleのサーバーに『安全に』保管される仕組みで。
30
海外の名無しさん
2026-11-14 17:43
もちろん『原則としては変更を歓迎するが、技術的な難しさが永遠に存在する』というやつだよね。
37
海外の名無しさん
2026-11-14 17:46
秘密鍵をディスク上の普通のファイル以外の場所に保管するのは、『永遠に続く技術的な難しさ』なんかじゃない。もう少し善意を持って見てほしい。
34
海外の名無しさん
2026-11-14 17:41
結局、Microsoft経由でコア開発者を雇っているところか、OpenAIに認められているところが欲しいんでしょ。codeberg.orgはそのどちらでもない。
36
海外の名無しさん
2026-11-14 18:24
そう、その通り。それがビルドを証明（attest）する目的そのもの。何か他に代案はある？
38
海外の名無しさん
2026-11-14 17:59
「ここに非営利団体が入ってくれると非常に助かる」という点には完全に同意する。ForgejoなりCodeberg基盤の他のコンポーネントなりが鍵管理の基本機能を改善してくれれば、連携先として参加を主張しやすくなると期待している。
この話題の背景と論点
PyPIの来歴(Provenance)表示は、Trusted PublishingによるSigstoreベースの署名を可視化する仕組みで、GitHub Actionsなどの発行元CIの設定を暗号学的に証明するものであり、パッケージの内容そのものが安全かを判定するものではない。この違いが誤解されやすく、スレ内でも「乗っ取り検知」と「悪意あるコードの検知」は別物だという指摘が出ていた。また、来歴の証明が実質的にGitHub/GitLabのような大手クラウド基盤への依存を前提にしている点、過去にPGP署名が広く使われなかった経緯への皮肉、Codebergなど非営利基盤を含める難しさなど、オープンソースの信頼基盤がビッグテックに集中していく流れへの警戒が議論の軸になっている。アイコン表示の不具合やPython文書ツールのフォーク騒動は本題からの脱線だが、同じコミュニティの空気を映す話題として触れられた。
※本記事は海外掲示板 Hacker News のスレッド「PyPI’s redesigned project pages with clearer security signals are now live」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。