npm audit

Description

npm audit analyse le fichier package-lock.json en le soumettant au registre npm pour obtenir les advisories correspondants. Il affiche les vulnérabilités avec chemin de dépendance, sévérité CVSS, et la version patchée disponible.

Mise en œuvre

Intégrer npm audit --audit-level=high dans le pipeline CI pour échouer sur les vulnérabilités HIGH/CRITICAL. Utiliser npm audit fix --force avec précaution (breaking changes potentiels). Préférer npm audit fix (patches non-breaking uniquement).

Points clés

• npm audit --json : sortie JSON pour parsing automatisé et intégration SIEM
• Compléter avec socket.dev pour la détection de supply chain attacks (nouveaux packages suspects)
• Yarn : yarn npm audit, pnpm : pnpm audit — comportements similaires