Dev News — 28 Sep 2026: scriptc compila TypeScript a nativo, Safari TP 253 y pnpm 12.7
Next.js 16.4 canary.46–51: insights de seguridad en DevTools y fix de Server Actions con PPR
Seis canaries en el finde. Lo jugoso: DevTools muestra insights de upgrades de seguridad basados en advisories de npm filtrados (solo te empuja cuando el upgrade está listo), y los agentic upgrades ahora andan en canales prerelease y sin Git. También arreglan Server Actions que se colgaban después de navegar a páginas PPR, y revierten el soporte experimental de webpack custom. Después de la seguidilla de CVEs de Next este año, tiene todo el sentido.
Solid 2.0 rc.10: onCleanup en orden inverso, records de timeline y códigos de diagnóstico renombrados
Ojo con esto si migraste: onCleanup vuelve a correr en orden inverso de registro (como en 1.x). La opción del compilador componentNames pasa a sourceNames y el viejo nombre tira error, y se consolidan códigos de diagnóstico (WIDE_WRITE → HUGE_FAN_OUT, SERVER_ERROR_SANITIZED). El engine de atribución suma records create, effect, flush, flight y fallback para performance tracks, y se cierra un leak de async iterators en streams abortados.
SvelteKit 3.0.0-next.29 y next.30: tipo Path never, cookies opcionales y fixes de foco
Dos prereleases más camino a SvelteKit 3: el tipo Path es never cuando no hay rutas, las opciones de cookies pasan a ser opcionales, se deja de filtrar un hashchange al setear el foco y form.for sobrevive a reconexiones. Menor, pero muestra que la API se está asentando.
Cloudflare migra su blog de WordPress a EmDash, su CMS en TypeScript, en un solo día
EmDash es el CMS open source en TypeScript de Cloudflare, corriendo en Workers con Workers Cache, KV como object cache y Hyperdrive contra PlanetScale. El rollout fue de 1% a 100% en un día, con un Worker proxy con routing por cookie y fallback automático a WordPress. Latencias planas y testeado hasta 7.000 RPS. Un buen caso real de migración gradual en el edge.
Turborepo 2.11.5: backoff del remote cache durante caídas
El cambio de usuario es uno solo pero útil: Turborepo ahora hace backoff de los requests de artefactos remotos cuando el cache está caído, en vez de martillarlo y frenar tu CI. El resto es reorganización de tests en contratos.
Vitest 5.0.2: toMatchObject con matchers asimétricos y reporter agent respeta --silent
Patch de estabilización de Vitest 5: arregla toMatchObject con matchers asimétricos, Request con body Blob en jsdom 28+, stack overflow al espiar Set.prototype.add, y el reporter agent ahora respeta --silent. Si ya migraste a v5, subilo.
Grafana convierte los resultados de Cypress en datos de observabilidad persistentes
No es un producto nuevo sino una receta práctica: hooks del ciclo de vida de Cypress exportan resultados como métricas Prometheus, un Pushgateway las retiene de los jobs efímeros y Grafana Alloy las scrapea hacia Grafana Cloud. Así podés seguir fallas, tiempos y tests flaky a lo largo de muchos runs, en vez de perder todo cuando termina el job de CI.
Tendencias Destacadas
La seguridad del package manager es el tema de la semana: pnpm cierra cuatro vectores de supply chain y Next.js mete alertas de upgrades de seguridad directo en DevTools.
TypeScript sin runtime JS: scriptc muestra que para CLIs y edge el cold start pesa más que el throughput. Es una locura ver 1.78ms de arranque.
Solid 2.0 y SvelteKit 3 siguen quemando prereleases: la API se asienta, así que es buen momento para probar migraciones en ramas.
Next.js 16.4 canary.46–51: security insights in DevTools and a Server Actions + PPR fix
Six canaries over the weekend. The highlight: DevTools now surfaces security upgrade insights from focused npm advisories (it only nudges when an upgrade is ready), and agentic upgrades now work on prerelease channels and without Git. Also fixed: Server Actions hanging after navigating to PPR pages; experimental custom webpack support was reverted.
Solid 2.0 rc.10: reverse-order onCleanup, timeline records and renamed diagnostic codes
Heads-up if you migrated: onCleanup runs in reverse registration order again (1.x semantics). The compiler's componentNames option becomes sourceNames and the old name now errors, and diagnostic codes were consolidated (WIDE_WRITE → HUGE_FAN_OUT, SERVER_ERROR_SANITIZED). The attribution engine gains create, effect, flush, flight and fallback records for performance tracks, and an async-iterator leak on aborted streams is fixed.
SvelteKit 3.0.0-next.29 and next.30: never Path type, optional cookie options and focus fixes
Two more prereleases on the road to SvelteKit 3: Path becomes never when there are no routes, cookie options are optional, focus handling no longer leaks a hashchange to app listeners, and form.for survives reconnects.
Cloudflare migrates its blog from WordPress to EmDash, its TypeScript CMS, in a single day
EmDash is Cloudflare's open-source TypeScript CMS, running on Workers with Workers Cache, KV as an object cache and Hyperdrive to PlanetScale. Rollout went from 1% to 100% in one day through a proxy Worker with cookie-based routing and automatic fallback to WordPress. Flat latency profile, tested up to 7,000 RPS.
Turborepo 2.11.5: remote cache backoff during outages
One user-facing change, but a useful one: Turborepo now backs off remote artifact requests during cache outages instead of hammering the service and slowing CI. The rest is test reorganization.
Vitest 5.0.2: toMatchObject with asymmetric matchers, agent reporter respects --silent
A Vitest 5 stabilization patch: fixes toMatchObject with asymmetric matchers, Request with a Blob body on jsdom 28+, a stack overflow when spying on Set.prototype.add, and the agent reporter now respects --silent.
Grafana turns Cypress test results into persistent observability data
Not a new product but a practical recipe: Cypress lifecycle hooks export results as Prometheus metrics, a Pushgateway holds them from short-lived jobs, and Grafana Alloy scrapes them into Grafana Cloud. You get failures, durations and flaky tests tracked across many runs instead of losing it all when the CI job ends.
Notable Trends
Package-manager security is the theme of the week: pnpm closes four supply-chain vectors and Next.js puts security upgrade alerts straight into DevTools.
TypeScript without a JS runtime: scriptc shows that for CLIs and edge workloads, cold start matters more than throughput.
Solid 2.0 and SvelteKit 3 keep burning through prereleases: APIs are settling, so it's a good time to trial migrations on a branch.
Next.js 16.4 canary.46–51 : alertes de sécurité dans DevTools et correctif Server Actions + PPR
Six canaries ce week-end. À retenir : DevTools affiche des alertes de mise à jour de sécurité basées sur des advisories npm ciblées (uniquement quand la mise à jour est prête), et les agentic upgrades fonctionnent en prerelease et sans Git. Corrigé aussi : les Server Actions bloquées après navigation vers des pages PPR ; le support webpack custom expérimental est retiré.
Solid 2.0 rc.10 : onCleanup en ordre inverse, records de timeline et codes de diagnostic renommés
Attention si vous avez migré : onCleanup s'exécute de nouveau en ordre inverse (sémantique 1.x). L'option componentNames devient sourceNames et l'ancien nom échoue, et les codes de diagnostic sont consolidés (WIDE_WRITE → HUGE_FAN_OUT). Le moteur d'attribution ajoute des records create, effect, flush, flight et fallback.
SvelteKit 3.0.0-next.29 et next.30 : type Path never, options de cookies optionnelles et correctifs de focus
Deux prereleases de plus vers SvelteKit 3 : Path devient never sans routes, les options de cookies sont optionnelles, la gestion du focus ne déclenche plus de hashchange et form.for survit aux reconnexions.
Cloudflare migre son blog de WordPress vers EmDash, son CMS TypeScript, en une journée
EmDash est le CMS open source TypeScript de Cloudflare, sur Workers avec Workers Cache, KV en cache d'objets et Hyperdrive vers PlanetScale. Déploiement de 1% à 100% en une journée via un Worker proxy avec routage par cookie et repli automatique sur WordPress. Latence stable, testé jusqu'à 7 000 RPS.
Turborepo 2.11.5 : backoff du cache distant pendant les pannes
Un seul changement visible, mais utile : Turborepo applique désormais un backoff aux requêtes d'artefacts distants pendant les pannes du cache, au lieu de ralentir la CI.
Vitest 5.0.2 : toMatchObject avec matchers asymétriques, le reporter agent respecte --silent
Patch de stabilisation de Vitest 5 : corrige toMatchObject avec matchers asymétriques, Request avec body Blob sous jsdom 28+, un stack overflow en espionnant Set.prototype.add, et le reporter agent respecte --silent.
Grafana transforme les résultats Cypress en données d'observabilité persistantes
Pas un nouveau produit mais une recette pratique : des hooks Cypress exportent les résultats en métriques Prometheus, un Pushgateway les conserve pour les jobs éphémères et Grafana Alloy les envoie vers Grafana Cloud. On suit échecs, durées et tests flaky sur de nombreux runs.
Tendances Notables
La sécurité des gestionnaires de paquets domine la semaine : pnpm ferme quatre vecteurs supply chain et Next.js affiche les mises à jour de sécurité dans DevTools.
TypeScript sans runtime JS : scriptc montre que pour les CLI et l'edge, le démarrage à froid compte plus que le débit.
Solid 2.0 et SvelteKit 3 enchaînent les prereleases : les API se stabilisent, bon moment pour tester une migration sur une branche.