Dev News — 13 oct. 2026 : l'équipe Deno rejoint Cloudflare, une faille critique dans le dev server Storybook et pnpm 12.12.1 avec OIDC pour dist-tag
Shopify pasa sus Checkout Blocks de React a Preact + Polaris web components: bundles hasta 85% más chicos
Caso real de web components en producción a escala. Shopify reescribió cinco extensiones de Checkout Blocks (presentes en cerca de un tercio de los checkouts personalizados), dejando React y el viejo puente Remote UI por Preact y Polaris web components. Resultado: bundles entre 40% y 85% más chicos, con un presupuesto de 64KB gzip por extensión y una mejora de ~8% en la mediana de carga. Pasar a Preact ahorró ~89KB y un parser de Liquid propio de 13KB reemplazó a liquidjs (~73KB). Lección: el presupuesto de bytes como regla dura hace más que cualquier micro-optimización.
pnpm 12.12.1: OIDC para dist-tag, chequeo de audiencia del NPM_ID_TOKEN y el protocolo tool:
Un patch con cosas de supply chain que valen la pena. pnpm publish ahora solo usa un NPM_ID_TOKEN si su claim aud coincide con el registry elegido; si no, lo saltea con un warning. pnpm dist-tag add/rm/ls soporta OIDC en CI (activá «Allow npm dist-tag» en trusted publishing) y te ahorrás el token de npm guardado. Y llega el protocolo tool: para Node.js, Bun, Deno y Yarn (pnx node@tool:22). Ojo: ya no podés tener un registry con nombre tool.
Vitest 5.0.4: fsModuleCache por defecto, --changed más preciso y mejoras al trace viewer
Más que un patch. fsModuleCache pasa a estar activo por defecto, --changed ahora trackea archivos de proyecto y mocks e imprime cuántos tests afectó, y la corrida falla ante errores de filtros de git o ubicación en vez de pasar en verde silenciosamente. Hay opción experimental para cachear dependencias en vez de parsearlas estáticamente, tema para la UI (test.ui.theme) y zoom en el trace viewer. Si tu CI usa --changed, revisá que siga corriendo lo que esperás.
Tendencias Destacadas
Consolidación de runtimes: con Deno entrando a Cloudflare, el modelo Workers + Durable Objects gana a un equipo entero, y el mapa de JS en el servidor queda en Node, Bun y el edge de Cloudflare.
Los dev servers son superficie de ataque: después de TinaCMS la semana pasada, ahora Storybook cambia defaults de red en cuatro majors. Localhost no es una frontera de seguridad.
Supply chain en el gestor de paquetes: pnpm sigue empujando OIDC y validación de audiencia de tokens para sacar los tokens estáticos del CI.
Shopify moves Checkout Blocks from React to Preact + Polaris web components: bundles up to 85% smaller
A real-world case of web components at scale. Shopify rebuilt five Checkout Blocks extensions (on roughly a third of customized checkouts), moving from React and the legacy Remote UI bridge to Preact and Polaris web components. Bundles shrank 40% to 85% under a 64KB gzip budget per extension, and median extension load time improved about 8%. Preact saved roughly 89KB, and an in-house 13KB Liquid parser replaced liquidjs (about 73KB).
pnpm 12.12.1: OIDC for dist-tag, NPM_ID_TOKEN audience checks and the tool: protocol
pnpm publish now uses an NPM_ID_TOKEN only when its aud claim matches the selected registry, skipping it with a warning otherwise. pnpm dist-tag add/rm/ls supports OIDC in CI (enable "Allow npm dist-tag" in trusted publishing), removing the need for a stored npm token. A new tool: protocol covers Node.js, Bun, Deno and Yarn (pnx node@tool:22). A named registry can no longer be called tool.
Vitest 5.0.4: fsModuleCache on by default, sharper --changed and trace viewer upgrades
fsModuleCache is now on by default, --changed tracks project files and mocks and reports how many tests were affected, and runs now fail on git or location filter errors instead of passing silently. Also: an experimental option to cache dependencies instead of parsing them statically, a test.ui.theme option and fit/zoom controls in the trace viewer. If CI relies on --changed, double-check what it now selects.
Notable Trends
Runtime consolidation: with Deno joining Cloudflare, the Workers + Durable Objects model absorbs a whole team, leaving server-side JS centered on Node, Bun and Cloudflare's edge.
Dev servers are attack surface: after TinaCMS last week, Storybook now changes network defaults across four major lines. Localhost is not a security boundary.
Supply chain in the package manager: pnpm keeps pushing OIDC and token audience validation to get static tokens out of CI.
Shopify passe ses Checkout Blocks de React à Preact + web components Polaris : bundles jusqu'à 85 % plus légers
Un cas concret de web components à grande échelle. Shopify a réécrit cinq extensions Checkout Blocks (présentes sur environ un tiers des checkouts personnalisés), passant de React et de l'ancien pont Remote UI à Preact et aux web components Polaris. Les bundles ont baissé de 40 % à 85 % avec un budget de 64 Ko gzip par extension, et le temps de chargement médian s'est amélioré d'environ 8 %. Preact a fait gagner environ 89 Ko et un parser Liquid maison de 13 Ko a remplacé liquidjs (environ 73 Ko).
pnpm 12.12.1 : OIDC pour dist-tag, vérification d'audience du NPM_ID_TOKEN et le protocole tool:
pnpm publish n'utilise désormais un NPM_ID_TOKEN que si son claim aud correspond au registry choisi, sinon il l'ignore avec un warning. pnpm dist-tag add/rm/ls supporte OIDC en CI (activez «Allow npm dist-tag» dans le trusted publishing), sans token npm stocké. Nouveau protocole tool: pour Node.js, Bun, Deno et Yarn (pnx node@tool:22). Un registry ne peut plus s'appeler tool.
Vitest 5.0.4 : fsModuleCache par défaut, --changed plus précis et améliorations du trace viewer
fsModuleCache est désormais activé par défaut, --changed suit les fichiers de projet et les mocks et affiche le nombre de tests concernés, et l'exécution échoue sur les erreurs de filtres git ou d'emplacement au lieu de passer en silence. Aussi : une option expérimentale pour mettre en cache les dépendances au lieu de les parser statiquement, une option test.ui.theme et des contrôles de zoom dans le trace viewer. Si votre CI utilise --changed, vérifiez ce qu'il sélectionne.
Tendances Notables
Consolidation des runtimes : avec Deno chez Cloudflare, le modèle Workers + Durable Objects absorbe toute une équipe, et le JS côté serveur se recentre sur Node, Bun et l'edge de Cloudflare.
Les dev servers sont une surface d'attaque : après TinaCMS la semaine dernière, Storybook change ses valeurs réseau par défaut sur quatre versions majeures. Localhost n'est pas une frontière de sécurité.
Supply chain dans le gestionnaire de paquets : pnpm continue de pousser OIDC et la validation d'audience des tokens pour sortir les tokens statiques de la CI.