Retire.js

Définition

Retire.js est un outil open source spécialisé dans la détection de bibliothèques JavaScript obsolètes ou présentant des vulnérabilités de sécurité connues, intégré sous forme d'extension de navigateur, d'outil en ligne de commande, et de plugin pour les outils de build et pipelines CI/CD. Conçu par Erlend Oftedal en 2013, il répond à une problématique spécifique de l'écosystème frontend : l'utilisation de versions anciennes de bibliothèques populaires (jQuery, Angular, Bootstrap, Lodash) qui présentent des failles de sécurité documentées. Retire.js maintient une base de données (repo-checker.retirejs.github.io) des vulnérabilités connues pour les bibliothèques JavaScript côté client et Node.js, avec pour chaque entrée : la bibliothèque concernée, les versions vulnérables, les CVEs associées, la sévérité, et les informations de remédiation. Cette base est mise à jour régulièrement par la communauté et synchronisée avec les CVEs publiées. En tant qu'outil CLI (retire --path ./dist), Retire.js scanne les fichiers JavaScript d'un projet (min ou source) et rapporte les bibliothèques identifiées par leur pattern de code ou leur commentaire d'entête. Cette identification peut fonctionner même sur des fichiers minifiés car de nombreuses bibliothèques incluent des commentaires avec leur version dans les builds de production. L'intégration de Retire.js dans les workflows DevSecOps se fait naturellement en complément de npm audit (qui couvre les dépendances Node.js déclarées dans package.json) : Retire.js couvre les bibliothèques frontend chargées directement via CDN ou copiées dans le projet, que npm audit ne peut pas détecter. Cette complémentarité est particulièrement précieuse pour les projets web qui utilisent des bibliothèques servies depuis des CDN ou copiées localement. Des plugins Retire.js existent pour Grunt, Gulp, Webpack, et Maven, facilitant son intégration dans les workflows de build existants. Grunt-retire et webpack-retirejs sont les plugins les plus utilisés.