Qu’est-ce que Depwire ?
Depwire analyse un projet avec tree-sitter et des analyseurs à base de motifs, construit un graphe au niveau des symboles (imports, appels, dépendants) et le sert aux clients MCP via 24 outils. Un agent peut demander ce qui dépend d'un symbole, quels fichiers une modification touche, quels exports semblent morts et ce que casserait une suppression, un déplacement, un renommage, une scission ou une fusion avant de toucher un fichier. Il note aussi la santé de l'architecture de 0 à 100, cherche des motifs de sécurité et enregistre des liens entre langages, comme un appel fetch en TypeScript rapproché d'une route Flask.
Il est écrit en TypeScript par Atef Ataya, distribué sous le paquet depwire-cli sur npm, et a publié la v1.29.0 le 10 novembre 2026. La licence est la Business Source License 1.1, gratuite pour un usage personnel et interne en entreprise, qui passera sous Apache 2.0 le 25 février 2029. Le dépôt compte environ 70 étoiles et npm a enregistré 574 téléchargements sur la semaine close le 10 novembre.
Installer Depwire
npx -y depwire-cli mcpDepwire vaut-il le coup ?
Depwire répond bien à une question : qu'est-ce qui casse si l'agent modifie ceci. Son outil simulate_change prend une suppression, un déplacement, un renommage, une scission ou une fusion et renvoie, à partir du graphe, les imports cassés, les nœuds touchés et la variation du score de santé, sans modifier de fichier source. impact_analysis, get_dependents et affected_files couvrent les cas plus étroits, et find_dead_code liste les exports sans dépendants, chacun avec un niveau de confiance et un code de motif. Comme le graphe vient de l'analyse syntaxique et non d'embeddings, le même code donne toujours la même réponse.
Le README est d'une franchise rare sur ses limites. Un benchmark d'agents de juillet et les affirmations de performance qui en découlaient ont été retirés après qu'un audit a trouvé une clé de réponses exposée et des répertoires de travail inégaux ; le projet demande de ne pas les citer. Les tableaux d'analyses de projets réels portent une note indiquant que la v1.9.0 a corrigé des bogues d'analyse touchant le nombre de symboles et de liens, et que les chiffres n'ont jamais été remesurés. verify_change dit clairement qu'il ne certifie pas qu'une modification est sûre et qu'il ne lance ni compilation ni tests. Cette franchise vaut mieux qu'un benchmark, mais elle signifie aussi qu'aucune preuve publique actuelle ne montre que les agents travaillent mieux avec Depwire que sans.
Côté sécurité, l'analyse lit les fichiers sans les exécuter, la CLI n'envoie pas de télémétrie et le code source ne part jamais chez Depwire. Le serveur MCP fonctionne en stdio ; les serveurs de visualisation écoutent sur 127.0.0.1. Les outils écrivent bel et bien : sortie du graphe, cache SQLite, documentation générée et .depwire/AGENTS.md, plus des journaux de réservations et de décisions pour les outils de coordination. connect_repo peut cloner n'importe quelle URL GitHub, ce qui fait entrer du code et des commentaires non fiables dans le contexte de l'agent. Un avis de novembre 2026 (GHSA-h5xc-3hqf-qqm2) a montré qu'un lien symbolique pouvait contourner le blocage par connect_repo de chemins comme .ssh et /etc ; la v1.28.3 l'a corrigé.
Face à ses voisins, codebase-memory-mcp couvre des questions d'impact et de chemins d'appel proches sous forme de binaire C sous licence MIT, avec davantage d'utilisateurs, et CocoIndex Code fait de la recherche sémantique plutôt que des requêtes sur un graphe. Ce qui distingue Depwire, c'est la simulation de modifications, le diff structurel entre références git et les liens de routes entre langages. La BUSL autorise l'usage interne en entreprise, mais quiconque bâtit un produit ou un service hébergé dessus doit obtenir une licence commerciale auprès de l'auteur.
Là où il fait la différence
Une développeuse backend sur un service TypeScript de 300 fichiers
Supprimer un module utilitaire sans casser la compilation
L'agent appelle simulate_change avec une suppression du fichier, lit la liste des imports cassés, corrige chaque appelant puis lance la compilation. Gratuit sous BUSL pour un usage interne ; la réponse du graphe ne remplace pas les tests.
Un responsable technique sur un projet Maven de 13 modules
Voir quels modules d'extension une modification d'interface centrale atteint
impact_analysis résout les imports à travers les frontières de modules Maven et Gradle, ce qui donne une liste de dépendants inter-modules avant de planifier le changement. Analysez une fois avec depwire parse et lancez MCP à partir du graphe enregistré.
Une équipe plateforme avec deux agents de code sur un même dépôt
Empêcher les agents de modifier les mêmes fichiers en même temps
Chaque agent déclare son intention avec claim_files et consulte get_active_claims avant d'éditer. Les réservations sont des enregistrements indicatifs dans .depwire/claims.jsonl, pas des verrous de fichiers, et ne fonctionnent donc qu'avec des clients coopératifs.
Avant de vous engager
- Mise en route
- npx -y depwire-cli mcp dans la configuration du client, ou npm install -g depwire-cli. Documenté pour Claude Desktop et Cursor ; tout client stdio convient. Node 22 ou plus récent est recommandé ; sous Node 20, le cache d'analyse peut être indisponible. Lancer d'abord depwire parse . permet à MCP de démarrer depuis le graphe enregistré.
- Intégrations
- 24 outils, surtout des requêtes en lecture seule (get_dependents, impact_analysis, find_dead_code, simulate_change, security_scan). Outils d'écriture : update_project_docs, claim_files, release_files et record_decision écrivent sous .depwire/. Également une CLI, un SDK, une GitHub Action, un hook pre-commit et une extension VS Code.
- Données et confidentialité
- Fonctionne en local en stdio ; pas de télémétrie, pas de code source envoyé à Depwire. Les analyses de sécurité auditent les dépendances par défaut, ce qui envoie des métadonnées de dépendances aux registres de paquets et aux services d'avis ; --no-dependency-audit le désactive. connect_repo clone des URL GitHub, une voie d'injection de prompt. L'avis GHSA-h5xc-3hqf-qqm2 (contournement des chemins protégés par lien symbolique) est corrigé en v1.28.3.
- Coût à grande échelle
- Gratuit pour un usage personnel et interne en entreprise. Depwire Cloud et VS Code Pro coûtent $9.99/mois ; la licence commerciale pour des produits bâtis dessus se négocie par e-mail, prix non publié.
- Limites
- Les analyseurs ne captent que les constructions prises en charge ; les fichiers de plus de 1 MB sont ignorés. verify_change renvoie not_comparable pour la sûreté des groupes cycliques sur du contenu modifié et ne lance ni compilation ni tests. Le point d'accès /pr-review de Cloud renvoie HTTP 503 depuis le 18 octobre 2026.
Les points forts
- Simulation de cinq types de refactorisation
- Graphe déterministe, sans embeddings
- 16 langages plus les templates Angular
- Franc sur les benchmarks retirés et les limites de l'analyseur
Les points faibles
- BUSL-1.1, pas open source avant 2029
- Environ 70 étoiles et un seul auteur principal
- connect_repo clone des dépôts non fiables dans le contexte
- Le graphe manque les relations que ses analyseurs ne gèrent pas
Idéal pour
Les développeurs sur des bases de code TypeScript, Python ou JVM de taille moyenne qui veulent qu'un agent vérifie la portée d'une refactorisation avant d'éditer.
Alternatives à Depwire
Depwire : questions fréquentes
- Depwire vaut-il le coup ?
- Un outil de graphe soigné et honnête pour savoir ce qu'une modification va casser, freiné par une petite base d'utilisateurs et une licence qui n'est pas open source. Nous lui donnons 3.6 sur 5.
- Combien coûte Depwire ?
- La CLI et le serveur MCP sont gratuits pour un usage personnel et interne sous BUSL-1.1. Depwire Cloud et les fonctions Pro de l'extension VS Code coûtent $9.99/mois.
- Quels sont les inconvénients de Depwire ?
- BUSL-1.1, pas open source avant 2029; environ 70 étoiles et un seul auteur principal; connect_repo clone des dépôts non fiables dans le contexte; le graphe manque les relations que ses analyseurs ne gèrent pas.
- À qui s’adresse Depwire ?
- Les développeurs sur des bases de code TypeScript, Python ou JVM de taille moyenne qui veulent qu'un agent vérifie la portée d'une refactorisation avant d'éditer.
- Combien coûte Depwire pour une équipe ou en production ?
- Gratuit pour un usage personnel et interne en entreprise. Depwire Cloud et VS Code Pro coûtent $9.99/mois ; la licence commerciale pour des produits bâtis dessus se négocie par e-mail, prix non publié.
- Depwire est-il sûr pour les données de l’entreprise ?
- Fonctionne en local en stdio ; pas de télémétrie, pas de code source envoyé à Depwire. Les analyses de sécurité auditent les dépendances par défaut, ce qui envoie des métadonnées de dépendances aux registres de paquets et aux services d'avis ; --no-dependency-audit le désactive. connect_repo clone des URL GitHub, une voie d'injection de prompt. L'avis GHSA-h5xc-3hqf-qqm2 (contournement des chemins protégés par lien symbolique) est corrigé en v1.28.3.
- Quelles sont les meilleures alternatives à Depwire ?
- Les alternatives les plus proches que nous avons testées sont codebase-memory-mcp, CocoIndex Code, CodeGraph et Serena.
Réponses vérifiées le 11 nov. 2026.