WEB-893: npm supply chain hardening

[FranciscoKnebel]

---

repo: nodejs-blip
default_branch: master
local_clone: /home/fpk/dawntech/infra/github/scripts/npm/clones/nodejs-blip
repo_kind: npm
ticket: WEB-893
run_id: 007
has_work: true
generated_at: 2026-05-17T11:35:14-03:00

Design Spec: nodejs-blip — WEB-893 Supply Chain Hardening

Descoberta

• package.json raiz: sim
• package.json aninhado: nenhum
• GitHub Actions: não
• Versão Node detectada: Dockerfile:node:8
• Pacotes arriscados: nenhum
• npm install em package.json scripts: não

Passos a executar (na ordem)

0. Criar branch web-893-supply-chain-007 (git checkout -b)
1. Atualizar .npmrc na raiz com chaves faltantes: min-release-age=7 minimum-release-age=10080 save-exact=true ignore-scripts=true engine-strict=true audit-level=high
2. Migrar npm install → npm ci (sem flags) em: Dockerfile
3. Atualizar Node 24 (auto) em: Dockerfile:node:8->node:24-alpine package.json[engines.node]:_missing_->24 package.json[engines.npm]:_missing_->>=11.10.0 package.json[packageManager]:_missing_->npm@11.10.0
4. Regenerar package-lock.json com npm install --package-lock-only --ignore-scripts (refletindo save-exact)
5. Criar .dockerignore na raiz com baseline: .env*, .git, node_modules, npm-debug.log, .DS_Store, dist, build
6. Commit WEB-893: npm supply chain hardening + push da branch + abrir PR

Pendências (decisão humana ou inspeção)

Nenhuma

Descartado / fora de escopo

Nada descartado

Atenção

Nenhuma