`pnpm check:security` ejecuta la auditoría del registro y muestra cada aviso. `security-advisories.json` contiene versiones y rutas afectadas, la operación alcanzable, la actualización bloqueada del paquete padre y la fecha de revisión.

La revisión solo cubre esas rutas y versiones. Avisos nuevos, mayor gravedad, rutas nuevas y revisiones vencidas hacen fallar CI. También falla una auditoría sin acceso al registro. Primero se actualizan dependencias compatibles; una restricción upstream exige evaluación, no una sustitución sin probar. Se mantienen los tres días de espera.

Las Actions directas y los workflows reutilizables usan SHA de commit con comentarios de versión. Dependabot mantiene los pares. `action-pins.test.ts` impide referencias variables. Los cuerpos centrales pertenecen al repositorio de workflows; fijar el llamador no fija sus Actions transitivas variables.

Los overrides de seguridad revisados afectan a dependencias de padres concretos en [pnpm-workspace.yaml](https://github.com/kirchDev/duxt/blob/dev/pnpm-workspace.yaml). Se mantienen la espera de publicación y las pruebas de compatibilidad. Nuxt DevTools también necesita el [parche de compatibilidad](https://github.com/kirchDev/duxt/blob/dev/patches/%40nuxt__devtools%403.4.2.patch), porque simple-git 4 ofrece una factory con nombre en lugar del export predeterminado. Elimina el pin y su parche cuando el padre acepte una versión corregida.

Estos ajustes solo se aplican a este workspace: instalar `@kirchdev/duxt` no los transfiere a tu proyecto. Aplica los overrides necesarios en la configuración raíz de tu gestor, con el parche DevTools si actualizas su dependencia simple-git. Audita el grafo instalado y prueba el build y el adaptador de despliegue reales; la auditoría de este repositorio no sustituye la de tu proyecto. Consulta [el alcance de los overrides de pnpm](https://pnpm.io/settings/dependency-resolution).