Echipele de outsourcing din Chișinău livrează aplicații Node.js pe servere pe care clienții din UE le auditează. Un node_modules instalat direct pe producție, cu npm CLI la îndemână, este primul lucru notat de auditor și primul folosit de un atacator.
Un node_modules complet conține de regulă de zece ori mai mult cod decât aplicația ta, inclusiv devDependencies: bundlere, compilatoare, unelte de test. Fiecare este o cale de execuție. npm CLI adaugă un client HTTP autentificat, cu token în ~/.npmrc și cache plin de tarball-uri. În 2025, pachete cu miliarde de descărcări săptămânale au fost compromise prin conturile de întreținător, iar payload-ul a rulat din preinstall, adică la instalare. Dacă instalarea se întâmplă pe server, serverul este locul în care rulează codul străin.
Prima este suprafața de atac: pe server ajunge doar ce a produs build-ul, fără compilatoare și scripturi de pachet. A doua sunt secretele: cache-ul npm și tokenul rămân pe runner-ul de CI, nu pe o mașină expusă la internet. A treia este driftul: cu npm install pe server, versiunile pot diferi de cele testate, iar bug-ul apare doar în producție. Cu un artefact construit o singură dată și promovat între medii, ce a trecut testele este exact ce rulează la client.
Contractele cu clienți din Germania, Olanda sau România vin cu o anexă de securitate și, când procesezi date personale pentru ei, cu un contract de persoană împuternicită conform articolului 28 GDPR. Tot mai des apare cerința unui inventar de componente software și a unui proces documentat de gestionare a dependențelor. Un pipeline în care dependențele se instalează în CI, cu lockfile și fără scripturi, răspunde direct. Legea nr. 48/2023 privind securitatea cibernetică, în vigoare de la 1 ianuarie 2025, pune și ea accent pe riscurile din lanțul de aprovizionare.
| Metodă | Rulează scripturi de pachet | Reproductibil | Verdict |
|---|---|---|---|
| npm install pe server | da | nu | de evitat |
| npm ci --omit=dev --ignore-scripts | nu | da | acceptabil |
| Build în CI + artefact copiat | doar în CI | da | recomandat |
| Docker multi-stage fără npm în runtime | doar în etapa de build | da | recomandat |
ignore-scripts=true
fund=false
audit=falsenpm ci --omit=dev --ignore-scripts
npm ls --omit=dev --depth=0FROM node:22-alpine AS build
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci --ignore-scripts
COPY . .
RUN npm run build && npm prune --omit=dev
FROM node:22-alpine
WORKDIR /app
USER node
COPY --from=build --chown=node:node /app/dist ./dist
COPY --from=build --chown=node:node /app/node_modules ./node_modules
CMD ["node", "dist/server.js"]Clientul cere lista componentelor și dovada că dependențele nu se schimbă între test și producție. Echipa mută instalarea în GitHub Actions și livrează un artefact cu dist/ și node_modules curățat. Auditul trece fără observații la capitolul dependențe.
Un dezvoltator rulează npm install pe serverul de raportare pentru un fix urgent. Un pachet tranzitiv actualizat aduce un postinstall care citește variabilele de mediu. Detectarea vine din SIEM, dar rotația tuturor cheilor costă o săptămână.
Dacă un pachet este necesar la rulare, locul lui este în dependencies, nu în devDependencies. Mută-l acolo și rebuildează. Excepția reală este un server de dezvoltare, care nu ar trebui să fie accesibil din internet și nu intră în discuția despre producție.
Compilează în CI, unde scripturile rulează într-un mediu de unică folosință, și livrează binarul rezultat. Dacă trebuie să rulezi pe server, permite scriptul doar acelui pachet, explicit, și păstrează ignore-scripts=true pentru restul.
Managerul nu schimbă principiul. pnpm blochează implicit scripturile pachetelor din 2025, ceea ce ajută, dar problema de fond rămâne instalarea pe o mașină expusă. Build în CI și artefact promovat sunt recomandarea indiferent de unealtă.
Acest ghid adună într-un singur loc măsurile care contează pentru un server de producție al unei firme din Moldova: de la cheia SSH până la copia de backup pe care nimeni nu o poate șterge. Fiecare capitol trimite la o pagină de întrebare cu pași, comenzi și exemple. Este scris pentru echipe care livrează clienților din UE, raportează la instituții locale sau vând online și nu își permit o zi de indisponibilitate.