Audit rapide d'un package.json

---
name: audit-package-json-dependances
description: "Audite un fichier package.json en 5 minutes pour identifier les dépendances à risque (sécurité, mainteneur fantôme, license incompatible, version trop large, supply chain) avant d'installer ou de pousser en production. À utiliser quand un dev fullstack, backend, frontend, tech lead ou freelance reçoit un projet existant, ajoute une nouvelle lib, ou prépare une revue avant merge. Produit un tableau ligne par ligne, un verdict global et 3 actions immédiates, sans refacto opportuniste."
metadata:
  iaskills_title: "Audit rapide d'un package.json"
  metier_slug: dev
  metiers:
    - Mode technique
  secteur: "Tech & DSI"
  tier: free
  compatible:
    - claude-code
    - cowork
    - cursor
    - codex
  version: "1.0.0"
  author: "iaskills"
  editorial:
    pitch: "Audite un package.json en 5 minutes : dépendances à risque, license, mainteneur, version trop large, verdict clair et 3 actions immédiates."
    long_description: "Avant d'installer une dépendance dans un projet Node, TypeScript ou React, le réflexe sain consiste à regarder qui maintient la lib, depuis quand elle n'a pas bougé, sous quelle licence elle est distribuée et si elle ne tire pas une chaîne d'install louche. Ce skill structure cet audit pour tout fichier package.json fourni, en se concentrant sur les patterns documentés OWASP supply chain (typosquatting, dépendances abandonnées, versions trop larges, scripts postinstall suspects). La sortie est un tableau ligne par ligne avec un niveau de risque, un verdict global et 3 actions concrètes. Ne refacto pas le projet, ne propose pas de migration de stack, ne lance pas npm install."
    bullets:
      - "Audit ligne par ligne dependencies et devDependencies"
      - "Détection license incompatible, version trop large, scripts postinstall"
      - "Verdict global : safe, vigilance, à bloquer"
      - "3 actions immédiates priorisées"
      - "Aligné OWASP top 10 supply chain"
      - "Pas de refacto, pas de migration imposée"
    exemple_avant: "Le dev reçoit un boilerplate avec 47 dépendances, ouvre une issue Snyk qui liste 12 alertes mélangées, perd 90 minutes à trier les vraies vulnérabilités des bruits, et finit par ouvrir le terminal en disant « bon je tente npm install »."
    exemple_apres: "Le dev colle le package.json dans le skill et obtient un tableau de 12 lignes triées par risque, une license GPL qui plomberait le repo propriétaire identifiée tout de suite, un script postinstall sur une lib à 30 stars signalé en rouge, et un verdict « vigilance » avec 3 actions : retirer la lib GPL, épingler 4 versions floues, ouvrir une PR Dependabot ciblée."
    recommended_metiers:
      - consultant
    secteurs:
      - tech-dsi
      - startup-vc
      - conseil-audit
      - marketing-commerce
    metiers_individuels:
      - dev-backend
      - dev-frontend
      - devops
      - cto
      - chef-de-projet-it
      - architecte-si
      - rssi-cybersecurite
      - mlops
      - qa-engineer
    connecteurs:
      - notion
      - slack
---

# Audit rapide d'un package.json

## Quand utiliser ce skill

Déclencher quand un dev fullstack, backend, frontend, mobile, data, DevOps, tech lead, staff engineer, freelance senior, CTO ou architecte SI doit auditer un fichier package.json reçu ou modifié, dans un de ces cas : récupération d'un projet legacy, ajout d'une nouvelle dépendance, revue d'une PR qui touche les deps, pré-merge avant déploiement, audit sécurité avant une intégration Claude Code, Cursor, Codex ou Agent SDK.

Ne pas utiliser pour : auditer un skill iaskills (utiliser `audit-skill-tiers-securite`), migrer une version majeure (Next 14 vers 15, Python 3.10 vers 3.12, autres skills premium), faire un bundle size analysis Webpack ou Vite, ni lancer un fix automatique. Ce skill ne touche pas au lockfile et ne lance pas `npm install`, `pnpm install`, ni `yarn`.