L’article souligne l’importance d’une gestion rigoureuse des versions npm pour sécuriser ses projets JavaScript, surtout après des attaques comme celles sur chalk et debug. Il recommande d’utiliser des versions exactes pour les dépendances critiques (ex: "react": "18.2.0") plutôt que des ranges permissifs (^, ~, >=), et d’always commiter les lock files (package-lock.json ou yarn.lock) pour éviter les incohérences entre environnements. Une méthodologie sécurisée inclut : des audits réguliers (npm audit), des mises à jour contrôlées (via npm-check-updates), des tests complets après chaque modification, et l’intégration de vérifications automatiques dans le CI/CD. L’objectif est de minimiser les risques liés à la supply chain en privilégiant la sécurité à la commodité, notamment pour les packages critiques en production. Une checklist pratique résume les bonnes pratiques : versions exactes, lock files versionnés, audits automatiques, monitoring continu et backups des versions stables. La sécurité devient ainsi un investissement clé pour la stabilité des projets.
L'article relate l'expérience de l'auteur avec un scanner Brother DS-620 sous Ubuntu, confronté à l'obsolescence logicielle due à une dépendance rompue avec libsane. Pour résoudre ce problème, l'auteur propose deux solutions : installer le paquet en mode forcé, ce qui n'est pas pérenne, ou créer un faux package pour satisfaire la dépendance du pilote Brother. Cette dernière méthode permet de continuer à utiliser le scanner sans remplacer le matériel, contribuant ainsi à réduire les déchets électroniques.
Une liste d'outils pour le développement Python qui paraît assez complète
Tout est dans le titre
Tout est dans le titre
L'auteur présente Open Source Vulnerability Detector aka osv-detector qui permet de détecter les vulnérabilités des dépendances de tous types de projet (utilisation de npm, de composer, etc.) Il a même créé une image docker pour l'utilisation dans une CI
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre... et ça reste valable en ce début d'année 2021 :-)
Tout est dans le titre... sauf que ça concerne Red Hat / Fedora
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
L'auteur parle des packages NPM et explique pourquoi cette recommandation
Tout est dans le titre