Dependency Security Checker open source pour Python et VS Code

Dependency Security Checker est un outil open source permettant d'analyser localement les packages Python et extensions VS Code installés afin de repérer les éléments connus comme dépréciés, archivés, renommés, inactifs ou non maintenus.

Dependency Security Checker est un outil local et open source conçu pour vérifier rapidement les packages Python et extensions VS Code installés sur un environnement de développement.

Il compare les éléments détectés à des bases d'alertes locales afin de signaler ceux qui sont connus comme dépréciés, archivés, renommés, inactifs ou non maintenus.

L'objectif n'est pas de décider automatiquement si une dépendance doit être supprimée ou remplacée, mais de fournir une première information permettant au développeur d'identifier les éléments qui méritent une vérification complémentaire.

Packages Python

Le script checker.py analyse les packages installés dans l'environnement Python actif et les compare à la base locale alerts.json.

Lorsqu'une correspondance est trouvée, le rapport peut indiquer le package concerné, sa version installée, son statut, la raison de l'alerte, un remplacement suggéré lorsqu'il existe ainsi que la source permettant de vérifier l'information.

Extensions VS Code

Le script extension.py récupère les extensions installées dans VS Code ainsi que leurs versions, puis les compare à la base locale extensions.json.

Lorsqu'une extension connue est détectée, le rapport indique son statut, la raison de l'alerte, une éventuelle alternative et la source correspondante.

Une alerte n'est pas une vulnérabilité

La présence d'une alerte ne signifie pas nécessairement qu'un package ou une extension présente une vulnérabilité de sécurité. Elle indique qu'un élément correspond à une entrée connue dans la base du projet et mérite éventuellement une vérification.

Cette vérification peut s'inscrire plus largement dans une démarche de sécurité applicative .

Analyse locale et en lecture seule

Les comparaisons sont effectuées localement avec les fichiers JSON du projet, sans envoi de la liste des packages ou extensions vers un serveur distant, une approche cohérente avec les principes de sécurité des données .

L'outil fonctionne en lecture seule : il ne désinstalle, ne désactive, ne met à jour et ne remplace automatiquement aucun élément.

Le projet nécessite Python 3 et aucune dépendance Python externe n'est requise pour son fonctionnement.

• Analyser les packages Python : python checker.py
• Analyser les extensions VS Code : python extension.py

Pour analyser un environnement Python virtuel particulier, activez-le avant de lancer checker.py. Pour l'analyse des extensions, Visual Studio Code doit être installé et la commande code accessible depuis le terminal.

Les bases d'alertes ne prétendent pas être exhaustives. L'absence d'alerte ne garantit pas qu'un package ou une extension soit maintenu, sécurisé ou exempt de vulnérabilité.

Les sources associées aux alertes permettent d'effectuer une vérification complémentaire avant toute décision concernant une dépendance.

Le projet est open source sous licence MIT. Les contributions peuvent servir à compléter les bases d'alertes, corriger une information, ajouter une source ou améliorer les checkers.

➜ Voir le projet sur GitHub

Télécharger le projet