pip-audit

Définition

pip-audit est un outil en ligne de commande maintenu par la Python Packaging Authority (PyPA) qui audite les dépendances d'un projet Python pour détecter les packages présentant des vulnérabilités connues. Il analyse l'environnement Python actif, un fichier requirements.txt ou un fichier de lock comme pyproject.toml, puis interroge par défaut le PyPI JSON API Advisory Database ainsi que l'Open Source Vulnerabilities database (OSV.dev), une base agrégeant des avis de sécurité provenant de multiples écosystèmes et maintenue avec le support de Google. Pour chaque dépendance vulnérable identifiée, l'outil rapporte l'identifiant de l'avis, la description de la faille et, lorsque disponible, la version corrigée recommandée, ce qui permet une remédiation directe sans recherche manuelle supplémentaire. L'option --fix permet même de mettre à niveau automatiquement les packages concernés vers une version sûre. pip-audit peut être exécuté en mode hors ligne en pointant vers une base de vulnérabilités locale, un usage fréquent dans des environnements air-gapped ou à forte contrainte de conformité. Contrairement à des solutions commerciales comme Snyk ou Dependabot, pip-audit reste un outil léger, sans backend cloud obligatoire, facilement intégrable dans un pipeline CI via pip install pip-audit && pip-audit, ce qui en fait un choix courant pour les équipes cherchant une analyse de composition logicielle (SCA) simple et gratuite sur l'écosystème Python.