npm non funziona oggi?

A proposito di npm

npm è il registro di pacchetti software dell'ecosistema JavaScript, creato a partire dal 2009 da Isaac Z. Schlueter come risposta ai sistemi di distribuzione di moduli allora esistenti, giudicati inadeguati; la prima versione pubblica è uscita il 12 gennaio 2010. Il nome indica sia il registro online sia il programma a riga di comando incluso di default in ogni installazione di Node.js, l'ambiente di esecuzione JavaScript lato server per cui npm è nato. Nel 2014 Schlueter, insieme a Laurie Voss, ha fondato npm, Inc. a Oakland, in California, per gestire il registro su base commerciale; l'azienda ha attraversato nel 2019 una fase turbolenta, con licenziamenti e l'uscita dell'allora amministratore delegato, che secondo la stampa di settore ne aveva messo a rischio la sostenibilità finanziaria pochi mesi prima della cessione.

Nel marzo 2020 GitHub, controllata da Microsoft, ha acquisito npm, Inc., integrando il registro nella propria infrastruttura senza rendere pubbliche le cifre dell'operazione. Oggi il registro conta oltre 3,1 milioni di pacchetti pubblicati, scaricati miliardi di volte al mese da sviluppatori e da sistemi automatici di build. Non va confuso con altri registri di pacchetti nati per linguaggi diversi, come quello del linguaggio Python: npm serve specificamente l'ecosistema Node.js, con le proprie convenzioni di versionamento e il file package.json come descrizione standard di ogni progetto. Compare in un catalogo di disservizi digitali perché un registro irraggiungibile o compromesso blocca, nello stesso momento, l'installazione o l'aggiornamento del codice di innumerevoli progetti che non hanno altro in comune se non l'uso di questo strumento.

Segnalazioni degli utenti

Ultimi disservizi noti di npm

Episodi documentati da fonti pubbliche, dal più recente. Fonti verificate il 18 settembre 2026.

• 8 settembre 2025circa due ore prima della rimozione delle versioni compromesse

  Un manutentore noto con lo pseudonimo qix ha ricevuto un'email di phishing che imitava un avviso di reimpostazione della verifica in due passaggi, proveniente da un dominio contraffatto («npmjs.help») creato per assomigliare ai canali ufficiali; l'email ha raccolto nome utente, password e un codice temporaneo valido, permettendo di impossessarsi dell'account e di pubblicare versioni modificate di diciotto pacchetti molto diffusi, fra cui debug, chalk, ansi-styles, strip-ansi e supports-color, complessivamente scaricati miliardi di volte alla settimana. Il codice aggiunto intercettava, lato browser, le transazioni verso portafogli di criptovalute e ne dirottava silenziosamente la destinazione verso indirizzi dell'attaccante, prima che la comunità rilevasse l'anomalia e le versioni infette venissero rimosse dal registro.

  Fonte: GitHub, issue ufficiale del progetto chalk «Version 5.6.1 published to npm is compromised (RESOLVED)»

• 21 novembre 2019due finestre distinte, il 21-22 novembre e il 25 novembre 2019

  Un utente ha lanciato contro il registro un programma automatico che, violando le condizioni d'uso, interrogava in modo aggressivo l'esistenza e l'accesso a un gran numero di pacchetti, sia reali sia inventati: il carico ha messo sotto stress i sistemi che verificano l'autenticazione e i permessi di accesso ai pacchetti, producendo tassi di errore crescenti e una degradazione del servizio percepita da chi installava o pubblicava pacchetti in quelle ore, ripetutasi in due episodi distinti a distanza di pochi giorni.

  Fonte: npm Blog, «Incident Report: npm Registry Service Degradation»

Da sapere su npm

Un disservizio di npm raramente si vede come un sito irraggiungibile nel senso comune del termine: colpisce chi scrive o compila codice, non chi naviga un sito già pubblicato, perché il registro entra in gioco nel momento in cui un progetto viene installato o aggiornato, non mentre viene semplicemente consultato dagli utenti finali. Per questo un guasto o una compromissione come quella del settembre 2025 si propaga con un ritardo: il codice malevolo pubblicato in un pacchetto diffuso può restare inosservato nelle build automatiche di altri progetti finché qualcuno non lo scopre e lo segnala, come accaduto in poche ore in quel caso.

L'attacco del settembre 2025 mostra un tipo di rischio specifico dei registri di pacchetti: non serve violare l'infrastruttura di npm, basta ingannare la persona che detiene le credenziali di pubblicazione di un pacchetto molto usato, perché ogni progetto che lo include come dipendenza — spesso senza saperlo, tramite dipendenze di altre dipendenze — riceva automaticamente il codice modificato alla prossima installazione. È una differenza di fondo rispetto a un registro di pacchetti per un altro linguaggio di programmazione, dove le convenzioni di pubblicazione e la catena di dipendenze seguono regole proprie.

Informazioni utili su npm

• Sito ufficiale Sito istituzionale npm npmjs.com Registro pubblico dei pacchetti, ricercabile da browser; l'account per pubblicare pacchetti è distinto da quello di un semplice sviluppatore che li installa.
• Centro assistenza Documentazione e supporto npm docs.npmjs.com Base di conoscenza self-service; dopo l'acquisizione del 2020 le questioni di account e fatturazione passano dal supporto di GitHub, di cui npm è oggi parte.
• Pagina di stato Pagina di stato ufficiale status.npmjs.org Storico dei disservizi con iscrizione via email o tramite feed Atom/RSS, più l'account dedicato @npmstatus per gli avvisi.