Setar a flag global no npm, pip que só permite instalação de libs que tem atualização com no minimo 7 dias em produção tambem é uma boa. Até por que vai saber se uma lib official que você vai aprovar foi infectada ontem.

min-release-age=7