# Les failles de vos dépendances npm, avant qu'elles arrivent en production.

Source : https://libwatch.com/ecosystemes/javascript

Écosystème · JavaScript · npm, Yarn, pnpm

LibWatch lit package.json et votre lockfile npm, Yarn ou pnpm, vérifie chaque paquet et suit la fin de support de votre version de Node.js.

[Analyser un projet JavaScript](https://app.libwatch.com/users/sign_up?source=eco_javascript)

[Voir une alerte type](#alerte)

Ce que LibWatch lit dans le dépôt

- `package.json`
- `package-lock.json`
- `yarn.lock`
- `pnpm-lock.yaml`
- `.nvmrc`

Version de langage : .nvmrc, .node-version ou .tool-versions

Rien d'autre : aucun clone, aucun code exécuté.

Ce que LibWatch vérifie

## Les paquets, et la version de Node.js

Paquets npm

### Failles connues

Chaque paquet du lockfile comparé à OSV, qui reprend les avis GitHub.

Version de Node.js

### Fin de support

La version déclarée est suivie : vous savez quand elle ne reçoit plus de correctifs.

Santé

### Politique de licences

Les licences contraires à la politique de votre projet sont signalées.

Une alerte, concrètement

## Une faille npm, avec la version qui corrige

Les dépendances transitives comptent aussi : le lockfile dit tout.

Gravité réelle

Gravité CVSS et présence au catalogue KEV de la CISA

Quoi faire

La version corrigée, et le projet concerné

Où

E-mail, Slack, Zulip ou webhook, réglable par projet

Fin de support

## Où en est votre version de Node.js

Calendrier officiel de nodejs.org, relevé le 22/10/2026.

| Version | Statut | Fin de support | À faire |
| --- | --- | --- | --- |
| Node.js 24 | LTS active | → 30/04/2028 | Version recommandée |
| Node.js 22 | Maintenance | → 30/04/2027 | Prévoir la migration |
| Node.js 20 | Fin de support | Depuis le 30/04/2026 | Migrer maintenant |

Dates relevées le 22/10/2026.

Démarrer

## Premier rapport en quelques minutes

Sans pipeline à modifier.

### Connectez GitHub ou GitLab

Y compris une instance GitLab auto-hébergée.

### Choisissez vos dépôts JavaScript

LibWatch repère seul les fichiers listés plus haut, même dans un monorepo.

### Lisez le rapport, réglez les alertes

Failles exploitées en tête, versions corrigées, fin de support du langage.

## Pour aller plus loin

Fin de support

### Votre langage aussi

Pourquoi LibWatch suit la version de votre langage.

[Découvrir : Votre langage aussi](/fonctionnalites/fin-de-support)

SBOM

### Exporter en CycloneDX ou SPDX

Une nomenclature lisible par machine, pour vos clients et le CRA.

[Voir l'export : Exporter en CycloneDX ou SPDX](/fonctionnalites/export-sbom)

Tarifs

### Au projet, sièges inclus

De 39 à 299 € HT par mois.

[Voir les tarifs : Au projet, sièges inclus](/tarifs)

Questions fréquentes

## LibWatch et JavaScript

### Faut-il installer quelque chose dans le projet ?

Non. LibWatch lit les fichiers de dépendances par l'API de GitHub ou GitLab, sans rien ajouter à votre pipeline.

### Les registres privés sont-ils pris en charge ?

Oui. Un paquet qui vient d'un registre privé est repéré comme tel : son nom n'est envoyé à aucun service tiers, et il reste dans l'inventaire du projet.

### LibWatch détecte-t-il la version installée sur le serveur ?

Non. LibWatch lit la version déclarée dans le dépôt (fichier de version, lockfile ou manifeste). Il n'a aucun accès à vos serveurs.

## Vos projets JavaScript, vérifiés cette nuit.

[Analyser un projet](https://app.libwatch.com/users/sign_up?source=eco_javascript)

Hébergé en France chez OVHcloud