chore: add .npmrc minimum release age

[WybeBosch]

Wat is er veranderd

.npmrc toegevoegd met een minimum release age instelling. Hiermee worden pakketten die net gepubliceerd zijn geblokkeerd bij het updaten van dependencies.

Waarom

Als onderdeel van een bredere security aanpak na de axios supply chain aanval:
https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan

De instelling zorgt ervoor dat als iemand een nieuwe release van dit pakket maakt en daarna install draait, ook de sub-dependencies door deze check gaan. Zie ook yardinternet/brave#87 voor context.

Wanneer triggert dit?

Alleen bij het resolveren van nieuwe versies — dus bij npm update of een npm install waarbij een package nog niet in de lockfile staat. Een gewone npm install vanuit een bestaande lockfile zou hier geen last van moeten hebben, dus CI workflows zouden gewoon moeten blijven werken.

Als je er toch tegenaan loopt

Voeg het package tijdelijk toe aan de exclude lijst in .npmrc:

min-release-age-exclude=@some/package

Of zet de instelling tijdelijk op 0:

min-release-age=0

Zet het daarna weer terug als de package oud genoeg is om te vertrouwen.