Deno 2.9.5: backend experimental QuickJS y otra tanda de compat con Node
Llega un backend experimental de QuickJS, el flag --unscoped en deno add y --members para correr tasks solo en los miembros del workspace. El grueso son fixes de compat con Node: backpressure en Readable.toWeb(), tags de node:test, util.diff, v8.promiseHooks, orden de fs.readdir igual que Node. Y dos de seguridad que valen leer: node:dns.getServers() ahora exige --allow-sys y fetch limita headers sensibles a redirects por origen.
Node.js v24.19.0: compresión de certificados TLS y control fino de keep-alive
Tanda semver-minor con cosas útiles para servidores: opción certificateCompression en TLS (y OpenSSL compilado con soporte), reporte de los grupos TLS negociados, TCP_KEEPINTVL y TCP_KEEPCNT en setKeepAlive, y una opción httpValidation para configurar la validación de valores de headers. Suma blob.textStream(), buffers provistos por el llamador en readFile(), muestreo del event loop delay por iteración y stream.compose marcado como estable.
Fastify 5.11.3: fixes de trailers, decorators y parsers content-type
Patch chiquito pero con un bug clásico adentro: los parsers de content-type con regex global o sticky no reseteaban lastIndex, así que el mismo request podía matchear o no según el estado previo. Además limpia el estado de trailers al removerlos todos, pasa null en vez de undefined a requestCompleted y reconoce propiedades built-in asignadas en el constructor como decorators.
Hono v4.13.1 sale a los cuatro días del minor
Patch de seguimiento del 4.13.0. Si ya saltaste al minor por la performance, actualizá directo a 4.13.1 y evitá el rato de convivir con los bordes recién estrenados del router.
Supabase Pipelines entra en alpha pública: CDC de Postgres a BigQuery
Pipelines streamea cambios de Postgres a BigQuery casi en tiempo real como servicio CDC gestionado, configurable desde el dashboard y disponible en todos los planes pagos. Si venías armando Debezium a mano para alimentar el warehouse, es la primera alternativa que no te obliga a operar Kafka. Alpha pública: probalo, no lo pongas de columna vertebral del reporting todavía.
BullMQ 6.0.9 tipa el returnvalue del evento completed
El evento completed ahora tipa returnvalue como el valor ya deserializado, no como el string crudo. Chiquito, pero mata una clase entera de JSON.parse defensivo en los listeners y cierra un issue que venía de arrastre.
Kubernetes v1.37.0-rc.0: última ventana para probar antes del GA
Salió el primer release candidate de la 1.37, con el GA apuntado al 26 de agosto. Si tenés operators, CRDs o admission webhooks propios, este es el momento de correrlos contra el RC en staging — después del GA vas a estar debuggeando con el cluster de producción de rehén. Bonus de agenda: la 1.34 entra en maintenance mode el 27 de agosto.
Cloudflare unifica Workers AI y AI Gateway en un solo binding
Mismo binding AI y misma REST API para modelos alojados en Workers AI o en proveedores externos, con AI Gateway aportando observabilidad, logging, caching, seguridad y control de billing. Además podés pagar inferencia de Workers AI con créditos prepagos de AI Gateway. Para el que arma backends en el edge: un solo punto de instrumentación en vez de dos caminos con métricas distintas.
Fastify documenta los route params percent-decoded como input NO confiable
Cambio de docs firmado por Matteo Collina que vale más que muchos releases: el framework decodifica los params por vos, así que %2e%2e%2f llega a tu handler ya convertido en ../. Si concatenás un param a un path de filesystem, a una key de S3 o a un comando, tenés path traversal aunque el router se vea prolijo. La regla es vieja pero se olvida: validá después del decode, con allowlist, no con blacklist de caracteres.
Kysely 0.29.5: TypeScript 7 abarata el chequeo y los tipos se van de mambo
Dato de arquitectura escondido en un patch: el equipo cuenta que TypeScript 7 permite cómputos más profundos, y eso dispara muchas más instanciaciones y wall clock en varios escenarios. Traducción para quien diseña APIs con tipos: el compilador rápido no elimina el costo de los tipos condicionales recursivos, lo corre de lugar. Este release arregla una recursión infinita de type-check y optimiza las comprobaciones de asignabilidad builder contra builder.
Turborepo 2.10.9: tanda gorda de performance en lockfiles y hashing
Casi todo el changelog son perf: parser rápido de pnpm que no clona strings al pepe, resolución de closures compartida para npm y yarn1, índice de nodos del workspace por nombre, memoización de la inferencia de framework durante el hashing de tasks y globs con prefijo literal recorridos sin compilar wax. Nada de API nueva — es puro tiempo de arranque devuelto en monorepos grandes, que es donde Turbo se gana o se pierde el lugar.
Tendencias Destacadas
El compilador nativo de TypeScript ya cambió el juego de las librerías: Kysely reporta que con TS 7 los tipos se pueden ir mucho más profundo, y eso reaparece como instanciaciones y wall clock. Compilador rápido no es lo mismo que tipos gratis.
La cadena de suministro de npm dejó de ser un riesgo teórico: ChainDrop se ejecuta en preinstall, se republica solo con tokens robados y va derecho al CI. Si tu pipeline no tiene min-release-age, lockfiles auditados y rotación de credenciales, no tenés defensa — tenés suerte.
Semana de romper contratos con cuidado: Prisma pasa a línea RC con agregados en bigint y Gateway API separa lo experimental en su propio grupo de API. Dos formas distintas de decir lo mismo — la estabilidad se comunica en el versionado, no en el changelog.
Deno 2.9.5: experimental QuickJS backend and another round of Node compat
This one lands an experimental QuickJS backend, an --unscoped flag for deno add, and --members to run tasks in workspace members only. Most of the changelog is Node compat: backpressure in Readable.toWeb(), node:test tags, util.diff, v8.promiseHooks, and fs.readdir ordering matching Node. Two security-flavored fixes are worth noting: node:dns.getServers() now requires --allow-sys, and fetch scopes redirect-sensitive headers by origin.
Node.js v24.19.0: TLS certificate compression and finer keep-alive control
A semver-minor batch with real server-side value: a TLS certificateCompression option (with OpenSSL built for it), reporting of negotiated TLS groups, TCP_KEEPINTVL and TCP_KEEPCNT in setKeepAlive, and an httpValidation option to configure header value validation. Also blob.textStream(), caller-supplied buffers for readFile(), per-iteration event loop delay sampling, and stream.compose marked stable.
Fastify 5.11.3: trailer, decorator and content-type parser fixes
Small patch with a classic bug inside: content-type parsers using global or sticky regexes were not resetting lastIndex, so the same request could match or not depending on prior state. It also clears trailer state when all trailers are removed, passes null instead of undefined to requestCompleted, and recognizes constructor-assigned built-in properties as decorators.
Hono v4.13.1 lands four days after the minor
Follow-up patch to 4.13.0. If you already jumped to the minor for the performance win, go straight to 4.13.1 and skip living with the freshly shipped router edges.
Supabase Pipelines hits public alpha: Postgres CDC into BigQuery
Pipelines streams Postgres changes into BigQuery in near real time as a managed CDC service, configured from the dashboard and available on all paid plans. If you were hand-rolling Debezium to feed the warehouse, this is the first alternative that does not force you to operate Kafka. Public alpha: try it, but do not make it the backbone of your reporting yet.
BullMQ 6.0.9 types the completed event returnvalue
The completed event now types returnvalue as the deserialized value rather than the raw string. Small change, but it kills a whole class of defensive JSON.parse in listeners and closes a long-standing issue.
Kubernetes v1.37.0-rc.0: last window to test before GA
The first 1.37 release candidate is out, with GA targeted for August 26. If you maintain operators, CRDs or admission webhooks, this is the moment to run them against the RC in staging — after GA you will be debugging with production as the hostage. Calendar bonus: 1.34 enters maintenance mode on August 27.
Cloudflare unifies Workers AI and AI Gateway behind one binding
The same AI binding and REST API now call models hosted on Workers AI or by supported third-party providers, with AI Gateway supplying observability, logging, caching, security and billing controls. You can also pay for Workers AI inference with prepaid AI Gateway credits. For edge backends: one instrumentation point instead of two paths with different metrics.
Fastify documents percent-decoded route params as untrusted input
A docs change signed by Matteo Collina that is worth more than plenty of releases: the framework decodes params for you, so %2e%2e%2f reaches your handler already turned into ../. Concatenate a param into a filesystem path, an S3 key or a command and you have path traversal, however tidy the router looks. Old rule, easily forgotten: validate after decoding, with an allowlist, not a character blacklist.
Kysely 0.29.5: TypeScript 7 makes checking cheap, and types run wild
An architecture insight hidden in a patch release: the team reports that TypeScript 7 allows deeper computations, which now cause far more instantiations and wall clock time in various scenarios. Translation for anyone designing type-heavy APIs: the fast compiler does not remove the cost of recursive conditional types, it moves where you feel it. This release fixes an infinite type-check recursion and optimizes builder-vs-builder assignability checks.
Turborepo 2.10.9: a heavy performance pass on lockfiles and hashing
Almost the entire changelog is perf: a pnpm fast parser that stops cloning strings needlessly, shared closure resolution for npm and yarn1 lockfiles, workspace nodes indexed by name, memoized framework inference during task hashing, and literal-prefix globs walked without wax compilation. No new API — just startup time handed back on large monorepos, which is exactly where Turbo earns or loses its seat.
Notable Trends
TypeScript's native compiler is already reshaping library design: Kysely reports that TS 7 lets types go much deeper, which comes back as instantiations and wall clock time. A fast compiler is not the same as free types.
The npm supply chain stopped being a theoretical risk: ChainDrop runs on preinstall, republishes itself with stolen tokens and heads straight for CI. If your pipeline lacks min-release-age, audited lockfiles and credential rotation, you do not have a defense — you have luck.
A week of breaking contracts deliberately: Prisma moves to an RC line with bigint aggregates, and Gateway API splits experimental resources into their own API group. Two different ways of saying the same thing — stability is communicated through versioning, not through the changelog.
Deno 2.9.5 : backend QuickJS expérimental et nouvelle vague de compat Node
Au menu : un backend QuickJS expérimental, un flag --unscoped pour deno add et --members pour n'exécuter les tâches que dans les membres du workspace. L'essentiel du changelog concerne la compat Node : backpressure dans Readable.toWeb(), tags node:test, util.diff, v8.promiseHooks, ordre de fs.readdir aligné sur Node. Deux correctifs sécurité à noter : node:dns.getServers() exige désormais --allow-sys, et fetch limite les en-têtes sensibles aux redirections par origine.
Node.js v24.19.0 : compression de certificats TLS et keep-alive plus fin
Un lot semver-minor utile côté serveur : option TLS certificateCompression (avec OpenSSL compilé en conséquence), remontée des groupes TLS négociés, TCP_KEEPINTVL et TCP_KEEPCNT dans setKeepAlive, et une option httpValidation pour régler la validation des valeurs d'en-têtes. Également blob.textStream(), buffers fournis par l'appelant pour readFile(), échantillonnage du délai de boucle d'événements par itération et stream.compose marqué stable.
Fastify 5.11.3 : correctifs trailers, decorators et parsers content-type
Petit patch avec un bug classique : les parsers de content-type utilisant des regex globales ou sticky ne réinitialisaient pas lastIndex, si bien qu'une même requête pouvait matcher ou non selon l'état précédent. Il nettoie aussi l'état des trailers quand on les retire tous, passe null au lieu de undefined à requestCompleted, et reconnaît les propriétés natives assignées dans le constructeur comme decorators.
Hono v4.13.1 sort quatre jours après le minor
Patch de suivi de la 4.13.0. Si vous êtes déjà passé au minor pour les gains de performance, allez directement en 4.13.1 et évitez de cohabiter avec les aspérités toutes fraîches du routeur.
Supabase Pipelines en alpha publique : CDC Postgres vers BigQuery
Pipelines diffuse les changements Postgres vers BigQuery quasiment en temps réel, sous forme de service CDC managé configurable depuis le dashboard et disponible sur tous les plans payants. Si vous montiez Debezium à la main pour alimenter le warehouse, c'est la première alternative qui ne vous oblige pas à opérer Kafka. Alpha publique : à tester, pas encore à mettre au cœur du reporting.
BullMQ 6.0.9 type le returnvalue de l'événement completed
L'événement completed type désormais returnvalue comme la valeur désérialisée et non comme la chaîne brute. Petit changement, mais il supprime toute une classe de JSON.parse défensifs dans les listeners et clôt un issue de longue date.
Kubernetes v1.37.0-rc.0 : dernière fenêtre de test avant la GA
La première release candidate de la 1.37 est disponible, la GA visant le 26 août. Si vous maintenez des operators, CRDs ou admission webhooks, c'est le moment de les passer sur la RC en staging — après la GA, vous déboguerez avec la production en otage. Bonus agenda : la 1.34 entre en maintenance mode le 27 août.
Cloudflare unifie Workers AI et AI Gateway derrière un seul binding
Le même binding AI et la même API REST appellent désormais les modèles hébergés sur Workers AI ou chez des fournisseurs tiers pris en charge, AI Gateway apportant observabilité, logging, caching, sécurité et contrôle de facturation. Les crédits prépayés AI Gateway peuvent aussi payer l'inférence Workers AI. Pour les backends edge : un seul point d'instrumentation au lieu de deux chemins aux métriques distinctes.
Fastify documente les route params percent-décodés comme entrée non fiable
Un changement de docs signé Matteo Collina qui vaut plus que bien des releases : le framework décode les params pour vous, donc %2e%2e%2f arrive dans votre handler déjà transformé en ../. Concaténez un param dans un chemin de fichiers, une clé S3 ou une commande et vous obtenez un path traversal, aussi propre que paraisse le routeur. Règle ancienne mais vite oubliée : validez après le décodage, avec une allowlist, pas une blacklist de caractères.
Kysely 0.29.5 : TypeScript 7 rend la vérification bon marché et les types s'emballent
Un enseignement d'architecture caché dans un patch : l'équipe indique que TypeScript 7 autorise des calculs plus profonds, ce qui provoque bien plus d'instanciations et de temps réel dans divers scénarios. Traduction pour qui conçoit des APIs très typées : le compilateur rapide ne supprime pas le coût des types conditionnels récursifs, il en déplace la perception. Cette version corrige une récursion infinie de type-check et optimise les vérifications d'assignabilité builder contre builder.
Turborepo 2.10.9 : grosse passe de performance sur lockfiles et hashing
Le changelog est presque intégralement perf : parser rapide pnpm qui cesse de cloner des chaînes inutilement, résolution de closures partagée pour les lockfiles npm et yarn1, nœuds du workspace indexés par nom, inférence de framework mémoïsée pendant le hashing des tâches, et globs à préfixe littéral parcourus sans compilation wax. Aucune nouvelle API — juste du temps de démarrage rendu sur les gros monorepos, là où Turbo se justifie ou non.
Tendances Notables
Le compilateur natif de TypeScript redessine déjà la conception des librairies : Kysely rapporte qu'avec TS 7 les types vont bien plus loin, ce qui revient en instanciations et en temps réel. Compilateur rapide ne veut pas dire types gratuits.
La chaîne d'approvisionnement npm n'est plus un risque théorique : ChainDrop s'exécute au preinstall, se republie avec des tokens volés et vise directement la CI. Sans min-release-age, lockfiles audités et rotation des identifiants, ce n'est pas une défense — c'est de la chance.
Une semaine de ruptures assumées : Prisma passe en ligne RC avec des agrégats en bigint, et Gateway API isole l'expérimental dans son propre groupe d'API. Deux façons de dire la même chose — la stabilité se communique par le versioning, pas par le changelog.