English Français العربية

npm Supply Chain Audit

Registre officiel Outils de développement

Check npm packages for typosquats, hallucinated names, install scripts and risky new releases.

Code source Documentation

Installation

Ajoutez ceci à la configuration MCP de votre client (Claude Desktop : claude_desktop_config.json ; Cursor : .cursor/mcp.json ; VS Code et les autres utilisent la même forme « mcpServers »).

Remote (streamable-http)
Claude Code 
claude mcp add --transport http npm-supply-chain-audit 'https://npm-supply-chain-audit-mcp.mcpize.run/mcp'
Configuration JSON (Claude Desktop, Cursor, VS Code) 
{
    "mcpServers": {
        "npm-supply-chain-audit": {
            "type": "http",
            "url": "https://npm-supply-chain-audit-mcp.mcpize.run/mcp"
        }
    }
}

Documentation

Tirée du README du projet sur GitHub, actualisée chaque semaine. Les liens ouvrent GitHub.

Sommaire
  1. npm-supply-chain-audit-mcp
  2. What it catches
  3. Tools
  4. Use it
  5. Part of a small suite
  6. License
  7. Update 1.1.0 (2026-10-01)

npm-supply-chain-audit-mcp

An MCP server that audits package.json for the real mechanisms behind actual npm supply-chain incidents — typosquatting and malicious install scripts — not a generic vulnerability-database lookup.

What it catches

Typosquatting. Dependency names within 1-2 character edit distance of one of the npm registry's most-depended-on packages (lodash, express, react, axios, and ~90 others) — the actual real targets of typosquat campaigns, since attackers go after the packages with the largest install base. lodahs, expres, reqeust all flag; an unrelated, genuinely distinct package name doesn't.

Malicious install scripts. preinstall/install/postinstall hooks run automatically on npm install, before any of the package's own code is ever reviewed — the actual delivery mechanism behind real incidents (event-stream 2018, ua-parser-js 2021, and others since). Flags scripts that pipe a remote download directly into a shell, and scripts that decode an obfuscated base64 payload before running it.

Unpinned versions. Dependencies on * or latest pull in whatever gets published next, silently, with no diff in your repo to explain why your dependency tree changed.

Tools

audit_package_json

Full audit of a package.json file.

check_package_name

Focused typosquat check on a single package name.

Use it

Hosted (recommended): MCPize — free tier, $7/mo Pro.

Self-host:

npm install
node server.js

Part of a small suite

secrets-leak-audit-mcp, mcp-trust-audit-mcp, github-actions-audit-mcp, dockerfile-audit-mcp.

License

MIT

Update 1.1.0 (2026-10-01)

  • New tools inspect_package_live and audit_dependencies_live: look packages up on the live npm registry. Flags names that do not exist (hallucinated or mistyped), brand-new low-traffic packages, install scripts, deprecated releases and typosquats.

Questions fréquentes

Qu'est-ce que npm Supply Chain Audit ?

Check npm packages for typosquats, hallucinated names, install scripts and risky new releases.

Comment installer npm Supply Chain Audit ?

Il fonctionne comme serveur distant. Dans Claude Code : claude mcp add --transport http npm-supply-chain-audit 'https://npm-supply-chain-audit-mcp.mcpize.run/mcp'. Pour les autres clients, collez la configuration JSON de cette page dans leurs réglages MCP.

Faut-il une clé API pour npm Supply Chain Audit ?

Son entrée au registre n'indique aucune clé ni secret obligatoire. Certaines fonctions peuvent tout de même demander un compte auprès du service auquel il se connecte.

npm Supply Chain Audit est-il open source ?

Oui. Son code est sur GitHub sous licence MIT.

Qui maintient npm Supply Chain Audit ?

Il est publié par tylerscomic-lab. AI.tn le référence sans le maintenir ni le recommander.

Issu du registre MCP officiel. Être listé n'est pas une recommandation : vérifiez le code et les permissions d'un serveur avant de lui donner accès à vos données.