Versiones
Instalada, compatible con tu rango y última publicada, con tipo de actualización major, minor o patch.
¿Qué tan seguro es ese paquete npm?
Versión, actualizaciones, vulnerabilidades y señales de riesgo de cualquier paquete npm. Puedes consultar varios a la vez separándolos con espacios.
Prueba:
¿Prefieres la terminal? npx @emersong/packagechecker analiza tu proyecto y te devuelve el informe.
Ver cómo funciona
Todo lo que necesitas saber antes de hacer npm install
Vulnerabilidades
Avisos de OSV.dev y GitHub Advisory Database, con la versión segura más cercana para cada paquete.
Supply chain
Detecta versiones de menos de 72 h, publicadores nuevos, pérdida de provenance y scripts postinstall.
Confiabilidad
Puntuación de 0 a 100 con desglose, OpenSSF Scorecard, descargas y estado de mantenimiento.
package.json y lockfiles
Analiza dependencies y devDependencies, y lee package-lock.json, yarn.lock y pnpm-lock.yaml.
Tamaño
Peso en disco, bundle minificado y gzip, tree-shaking y evolución del tamaño entre versiones.
Preguntas frecuentes
¿Qué es PackageChecker?
Es una herramienta web gratuita para revisar paquetes npm y archivos package.json. Muestra la versión instalada, la última disponible, vulnerabilidades conocidas, una puntuación de confiabilidad y recomendaciones concretas antes de actualizar.
¿Cómo sé si un paquete npm tiene vulnerabilidades?
Escribe el nombre del paquete (por ejemplo [email protected]) o pega tu package.json. PackageChecker consulta OSV.dev, que incluye la GitHub Advisory Database y los avisos de paquetes maliciosos de OpenSSF, y te indica qué versión corrige cada vulnerabilidad.
¿Por qué no conviene actualizar a una versión recién publicada?
Los ataques a la cadena de suministro suelen publicar versiones maliciosas desde cuentas comprometidas, y npm permite despublicar durante 72 horas. Esperar al menos 3 días da tiempo a que la comunidad detecte problemas.
¿Qué significa el símbolo ^ en package.json y es peligroso?
El prefijo ^ permite instalar automáticamente cualquier versión minor o patch futura. Es cómodo, pero una versión comprometida podría entrar sin revisión. Se recomienda fijar versiones exactas, usar lockfile y npm ci.
¿Se guarda o se envía mi package.json?
No. El archivo se procesa en tu navegador y solo se consultan APIs públicas por nombre de paquete. No hay cuentas, cookies ni almacenamiento de tus datos.
¿Puedo analizar mis dependencias desde la terminal?
Sí. Ejecuta npx @emersong/packagechecker --include all en la carpeta de tu proyecto: lee tu package.json y tu lockfile, muestra un resumen en la consola y te da un enlace para abrir el informe completo en esta web. También sirve en integración continua con --fail-on high.
¿Funciona con yarn.lock y pnpm-lock.yaml?
Sí. Puedes pegar o abrir package-lock.json, yarn.lock (v1 y Berry) o pnpm-lock.yaml para ver las versiones realmente instaladas.
Analiza tu package.json
Pega el archivo o arrástralo. Se procesa en tu navegador: solo se consultan las APIs públicas por nombre de paquete, nada se guarda ni se envía a otro sitio.
package.json
Suelta aquí tu package.json y/o lockfile
Lockfile (opcional)
package-lock.json, yarn.lock o pnpm-lock.yaml. Con el lockfile se muestran las versiones realmente instaladas en lugar de la mínima de cada rango.
Incluir
Analiza tu proyecto desde la terminal
El comando lee tu package.json y tu lockfile, consulta las mismas fuentes que esta web
y te deja un enlace para abrir el informe completo aquí. Sin instalar nada y sin subir tus archivos.
Ejecútalo en la carpeta de tu proyecto
npx @emersong/packagechecker --include all
PackageChecker · mi-app · 24 dependencias Salud general: 61/100 3 vulnerables 12 desactualizadas 1 recién publicada Versiones instaladas según package-lock.json PAQUETE INSTALADA ÚLTIMA ESTADO VULNS CONF. lodash 4.17.20 4.18.1 minor 5 (alta) 18 axios 0.21.4 1.20.0 major 23 (alta) 25 react 18.3.1 19.3.0 major 0 100 Avisos VULNERABLE [email protected] (alta) → actualiza a 4.18.1 RECIENTE [email protected] se publicó hace 9 h: espera 72 h antes de actualizar Comandos sugeridos npm install --save-exact [email protected] [email protected] Informe completo https://package-checker.dev/#deps=zNY1RCsMgEETvMt… ↵ Enter para abrir en el navegador · n para salir
Para qué sirve
Versiones reales
Lee package-lock.json, yarn.lock o pnpm-lock.yaml, así que muestra lo que tienes instalado, no lo que permite el rango.
Mismo análisis que la web
Vulnerabilidades de OSV.dev, confiabilidad, versiones recién publicadas y señales de cadena de suministro.
Listo para CI
Con --fail-on high devuelve error y detiene el despliegue si aparece una vulnerabilidad grave.
Sin dependencias
Pesa 35 kB y no instala paquetes de terceros. Necesita Node 18.17 o superior.
Opciones
| Opción | Para qué |
|---|---|
-i, --include <lista> | Secciones: all, deps, dev, peer, opt (por defecto deps,dev) |
--fail-on <nivel> | Sale con error si hay vulnerabilidades de ese nivel o superior |
--json | Informe en JSON, para otros scripts |
--url-only | Solo imprime el enlace del informe |
--open / --no-open | Abrir o no el navegador sin preguntar |
--cwd <ruta> · --lock <archivo> | Otra carpeta o un lockfile concreto |
--no-lock | Ignora el lockfile y usa el mínimo de cada rango |
--concurrency <n> · --no-color | Consultas en paralelo y salida sin colores |
En integración continua
GitHub Actions
- run: npx @emersong/packagechecker --include all --fail-on high --no-open
Códigos de salida: 0 todo bien · 1 se superó el umbral · 2 error de uso.
Tus archivos no se suben a ninguna parte
El comando consulta el registro de npm, OSV.dev y deps.dev solo por nombre de paquete. El enlace del informe
guarda las dependencias después del
#, la parte de la dirección que los navegadores nunca envían
al servidor: esta web las lee y analiza en tu propio navegador. Aun así, ese enlace contiene la lista de tus
dependencias, así que trátalo como información interna.
Paquete en npm: @emersong/packagechecker · Licencia MIT · Node 18.17+