`pnpm check:security` audite le registre et affiche chaque avis. `security-advisories.json` contient les versions et chemins concernés, l’opération accessible, la mise à jour bloquée du parent et l’échéance de révision.

La révision ne couvre que ces chemins et versions. Nouveaux avis, gravité accrue, nouveaux chemins et révisions expirées font échouer CI, tout comme un registre inaccessible. Les mises à jour compatibles passent en premier ; une contrainte upstream exige une évaluation plutôt qu’un remplacement non testé. Le délai de trois jours reste actif.

Les Actions directes et workflows réutilisables utilisent des SHA de commit avec commentaires de version. Dependabot entretient ces paires. `action-pins.test.ts` interdit les références variables. Les corps centraux appartiennent au dépôt workflows ; figer l’appelant ne fige pas leurs Actions transitives variables.

Les overrides de sécurité examinés ciblent des dépendances de parents précis dans [pnpm-workspace.yaml](https://github.com/kirchDev/duxt/blob/dev/pnpm-workspace.yaml). Le délai de publication et les tests de compatibilité restent obligatoires. Nuxt DevTools nécessite aussi le [correctif de compatibilité](https://github.com/kirchDev/duxt/blob/dev/patches/%40nuxt__devtools%403.4.2.patch), car simple-git 4 expose une factory nommée au lieu de son export par défaut. Retirez le pin et son correctif lorsque le parent accepte une version corrigée.

Ces réglages ne s’appliquent qu’à ce workspace : installer `@kirchdev/duxt` ne les transmet pas à votre projet. Appliquez les overrides utiles dans la configuration racine de votre gestionnaire, avec le correctif DevTools si vous mettez à jour sa dépendance simple-git. Auditez le graphe installé et testez le build et l’adaptateur de déploiement réels ; l’audit de ce dépôt ne remplace pas celui de votre projet. Voir [la portée des overrides pnpm](https://pnpm.io/settings/dependency-resolution).