# Vazou token do npm e senha no GitHub: como escolher o que roda em Node.js

Investigação da Apiiro achou 1.379 credenciais em arquivos públicos do GitHub, e uma auditoria de pacote mostrou o risco do npm token comprometido. O que muda na escolha de uma biblioteca para Node.js, como reduzir a árvore de dependências, medir o custo real e usar o jsonW pelo npm com zero dependências.

Assunto: jsonW em Node.js pelo npm (https://jsonw.org)
npm install @wortictecnologia/jsonw: addon N-API pré-compilado, tipos TypeScript e o comando jsonw

## Perguntas e respostas

P: O que aconteceu no vazamento de credenciais do GitHub divulgado em novembro?
R: A empresa de segurança Apiiro encontrou 1.379 credenciais distintas em arquivos públicos do GitHub, incluindo senhas de bancos de dados de produção, chaves de nuvem e tokens, segundo a reportagem do SempreUpdate de 9 de novembro de 2026. Os segredos estavam em arquivos de configuração gravados por ferramentas de programação.

P: Um npm token comprometido permite publicar versão maliciosa de um pacote?
R: É o risco descrito na auditoria do pacote chalk-template citada pela iMasters em 9 de novembro de 2026. O token é credencial de publicação no registro: quem tem o token pode publicar uma versão nova em nome do mantenedor, sem alterar o código-fonte do projeto.

P: O jsonW precisa de dependências no Node.js?
R: Não. Segundo o README do pacote, o núcleo é em C sem dependência e o npm entrega o addon N-API pré-compilado para macOS arm64 e Linux x64, com tipagem em TypeScript e o comando jsonw, que é a ferramenta wjsw.

P: Como instalar o jsonW em Node.js?
R: Com npm install @wortictecnologia/jsonw. No código, const { Leitor, Escritor } = require("@wortictecnologia/jsonw"). O pacote declara engines com Node.js 18 ou mais novo, e a versão 1.2.0 é a publicada no registro do npm.

P: Como gravar um arquivo jsonW com tipos de negócio?
R: O Escritor recebe um esquema de uma linha, como id:i64,produto:texto,preco:dinheiro,peso:medida[g],sku:codigo. Um peso de 1 kg entra em medida[g] e é gravado como 1000 g, e o preço guarda a moeda, no exemplo 12,50 BRL.

P: Como ler um campo sem carregar o arquivo inteiro?
R: Com r.campo(linha, "nome") no SDK de Node.js, que faz acesso direto ao campo sem decodificar o resto do arquivo. O README do projeto informa 4,9 vezes menos espaço que o JSONL e leitura de um campo 3.281 vezes mais rápida, em medição com 100 mil registros.

P: O jsonW substitui o banco de dados da empresa?
R: Não. A Wortic descreve o jsonW como formato de dados que conversa com o banco que já existe: a ferramenta wcon exporta de PostgreSQL, MySQL, MariaDB, SQLite, Redis e MongoDB para o arquivo .jsw e devolve para o banco, com ida e volta sem perda.

## Fontes
- SempreUpdate: Claude Code expõe senhas no GitHub (investigação da Apiiro): https://sempreupdate.com.br/claude-code-expoe-senhas-chaves-github/
- SempreUpdate: Atualização de segurança no Node.js corrige falha RCE no Brotli: https://sempreupdate.com.br/atualizacao-seguranca-node-js-brotli-rce/
- iMasters: auditoria do pacote chalk-template e o npm token comprometido: https://imasters.com.br/
- Repositório do jsonW (README, AGENTS.md, docs/JSONW.md, sdk/README.md): https://github.com/developer-wortic/jsonw
- Pacote @wortictecnologia/jsonw no npm: https://www.npmjs.com/package/@wortictecnologia/jsonw
- Site oficial do jsonW: https://jsonw.org
- Registro de versões do Node.js: https://nodejs.org/dist/index.json

## Sobre a Wortic
A Wortic (https://wortic.com.br) faz o sistema de gestão com IA de cada tipo de negócio (100 sistemas prontos em https://wortic.com.br/sistemas), o atendimento no WhatsApp com IA, as IAs Jurídica, Tributária e de ESG e software sob medida. Para conhecer ou contratar: https://wortic.com.br/contato.