fix(ci): publica en npm mediante OIDC sin depender de NPM_TOKEN

Author: Jonathangarrido

.github/workflows/nodejs.yml

@@ -51,6 +51,8 @@ jobs:
     permissions:
       contents: write
       issues: write
+      pull-requests: write
+      id-token: write
 
     steps:
       - uses: actions/checkout@v4
@@ -69,7 +71,6 @@ jobs:
       - uses: actions/setup-node@v4
         with:
           node-version: 24.22.0
-          cache: 'npm'
 
       - uses: webfactory/ssh-agent@v0.7.0
         with:
@@ -91,7 +92,6 @@ jobs:
         run: npm exec --no -- semantic-release
         env:
           GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
-          NPM_TOKEN: ${{ secrets.NPM_TOKEN }}
 
   build-pages:
     name: Build to GitHub Pages

README.md

@@ -8,7 +8,7 @@ La fuente de donde se basan los componentes se encuentran en este [**Sistema de
 
 ## Scripts
 
-El desarrollo y CI usan Node.js `24.22.0` y npm `11.13.0` (npm `11.5.1` o superior es requisito para Trusted Publishing de npm). Instale las dependencias bloqueadas con `npm ci`; CI no regenera el lockfile. La publicación sigue usando el `NPM_TOKEN` existente: Trusted Publishing todavía no está configurado en npm, así que el workflow de release aún no usa OIDC.
+El desarrollo y CI usan Node.js `24.22.0` y npm `11.13.0` (npm `11.5.1` o superior es requisito para Trusted Publishing de npm). Instale las dependencias bloqueadas con `npm ci`; CI no regenera el lockfile.
 
 Los componentes están al 100% en escritas en archivos `typescript`.
 
@@ -33,6 +33,27 @@ Levanta el entorno de `storybook`
 
 Ejecuta los test con `jest`
 
+## Publicación en npm con Trusted Publishing
+
+El workflow de release usa semantic-release en GitHub Actions y autentica las publicaciones de npm mediante OIDC. Antes de fusionar este cambio o ejecutar una publicación, una persona administradora debe configurar en npm el paquete `@eclass/ui-kit`, en **Settings → Trusted Publisher → GitHub Actions**:
+
+| Campo | Valor |
+| --- | --- |
+| Organization or user | `eclass` |
+| Repository | `ui-kit` |
+| Workflow filename | `nodejs.yml` (solo el nombre del archivo) |
+| Environment name | Vacío |
+
+Complete la primera publicación exitosa dentro de los dos días posteriores a crear el trusted publisher; si vence, deberá eliminarlo y volver a configurarlo.
+
+En **Allowed actions**, habilite la publicación directa con `npm publish`: semantic-release publica directamente y no usa `npm stage publish`. Las configuraciones nuevas permiten por defecto solo la publicación por etapas; habilite la administración de `dist-tags` únicamente si se agrega un flujo de canales que la necesite.
+
+El job de release solicita OIDC con `id-token: write`; npm obtiene automáticamente credenciales de corta duración para esa ejecución. No se configura ni se usa `NPM_TOKEN` como alternativa: si el trusted publisher no está configurado o no coincide, la publicación falla. Revoque o elimine el antiguo secreto `NPM_TOKEN` solo después de confirmar una publicación exitosa con OIDC. `GITHUB_TOKEN` sigue disponible para las operaciones de GitHub de semantic-release. La configuración SSH de GitLab, usada por separado para dependencias privadas, no cambia.
+
+semantic-release determina si corresponde una nueva versión según los commits; este cambio no publica automáticamente en cada commit. npm genera provenance automáticamente cuando la publicación cumple sus requisitos de elegibilidad.
+
+Referencias oficiales: [Trusted Publishing de npm](https://docs.npmjs.com/trusted-publishers/) y [GitHub Actions en semantic-release](https://semantic-release.org/recipes/ci-configurations/github-actions/).
+
 ## Instalación
 
 Se debe instalar este repositorio más unas dependencias