O que é Depwire?
O Depwire analisa um projeto com tree-sitter e analisadores baseados em padrões, monta um grafo em nível de símbolo com importações, chamadas e dependentes, e o serve a clientes MCP por meio de 24 ferramentas. Um agente pode perguntar o que depende de um símbolo, quais arquivos uma mudança afeta, quais exportações parecem mortas e o que uma exclusão, movimentação, renomeação, divisão ou fusão quebraria antes de tocar em um arquivo. Ele também dá uma nota de 0 a 100 para a saúde da arquitetura, procura padrões de segurança e registra ligações entre linguagens, como uma chamada fetch em TypeScript associada a uma rota do Flask.
É escrito em TypeScript por Atef Ataya, distribuído como o pacote depwire-cli no npm e lançou a v1.29.0 em 10 de novembro de 2026. A licença é a Business Source License 1.1, gratuita para uso pessoal e interno em empresas, que passa a Apache 2.0 em 25 de fevereiro de 2029. O repositório tem cerca de 70 estrelas e o npm contou 574 downloads na semana até 10 de novembro.
Como instalar Depwire
npx -y depwire-cli mcpDepwire vale a pena?
O Depwire responde bem a uma pergunta: o que quebra se o agente mudar isto. A ferramenta simulate_change recebe uma exclusão, movimentação, renomeação, divisão ou fusão e devolve, a partir do grafo, as importações quebradas, os nós afetados e a variação da nota de saúde, sem editar arquivos de código. impact_analysis, get_dependents e affected_files cobrem os casos mais específicos, e find_dead_code lista exportações sem dependentes, cada uma com um nível de confiança e um código de motivo. Como o grafo vem da análise sintática e não de embeddings, o mesmo código dá sempre a mesma resposta.
O README é incomumente franco sobre seus limites. Um benchmark de agentes de julho e as alegações de desempenho tiradas dele foram retirados depois que uma auditoria encontrou um gabarito exposto e diretórios de trabalho desiguais, e o projeto pede que não sejam citados. As tabelas de análises de projetos reais trazem uma nota de que a v1.9.0 corrigiu bugs do analisador que afetavam as contagens de símbolos e ligações, e de que os números nunca foram medidos de novo. O verify_change diz abertamente que não certifica uma mudança como segura e não roda build nem testes. Essa franqueza vale mais que um benchmark, mas também significa que não há evidência pública atual de que agentes trabalhem melhor com o Depwire do que sem ele.
Em segurança, a análise lê arquivos sem executá-los, a CLI não envia telemetria e o código-fonte nunca vai para o Depwire. O servidor MCP roda via stdio; os servidores de visualização escutam em 127.0.0.1. As ferramentas escrevem, sim: a saída do grafo, um cache SQLite, documentação gerada e .depwire/AGENTS.md, além de registros de reservas e decisões das ferramentas de coordenação. O connect_repo pode clonar qualquer URL do GitHub, o que traz código e comentários não confiáveis para o contexto do agente. Um aviso de novembro de 2026 (GHSA-h5xc-3hqf-qqm2) mostrou que um link simbólico podia driblar o bloqueio do connect_repo a caminhos como .ssh e /etc; a v1.28.3 corrigiu isso.
Entre os vizinhos, o codebase-memory-mcp cobre perguntas parecidas de impacto e caminhos de chamada como um binário em C com licença MIT e mais usuários, e o CocoIndex Code faz busca semântica em vez de consultas ao grafo. O que é próprio do Depwire é a simulação de mudanças, o diff estrutural entre referências do git e as ligações de rotas entre linguagens. A licença BUSL permite uso interno em uma empresa, mas quem construir um produto ou serviço hospedado sobre ele precisa de uma licença comercial do autor.
Onde ele se destaca
Uma engenheira de backend em um serviço TypeScript de 300 arquivos
Apagar um módulo utilitário sem quebrar o build
O agente chama simulate_change com uma exclusão do arquivo, lê a lista de importações quebradas, corrige cada chamador e depois roda o build. Gratuito sob BUSL para uso interno; a resposta do grafo não substitui a suíte de testes.
Um tech lead em um projeto Maven de 13 módulos
Ver quais módulos de extensão uma mudança em uma interface central alcança
O impact_analysis resolve importações entre módulos Maven e Gradle, então o tech lead recebe uma lista de dependentes entre módulos antes de planejar a mudança. Analise uma vez com depwire parse e inicie o MCP a partir do grafo salvo.
Um time de plataforma com dois agentes de código em um repositório
Evitar que agentes editem os mesmos arquivos ao mesmo tempo
Cada agente registra a intenção com claim_files e consulta get_active_claims antes de editar. As reservas são registros indicativos em .depwire/claims.jsonl, não travas do sistema de arquivos, e só funcionam com clientes que cooperam.
Antes de decidir
- Configuração
- npx -y depwire-cli mcp na configuração do cliente, ou npm install -g depwire-cli. Documentado para Claude Desktop e Cursor; qualquer cliente stdio funciona. Recomenda-se Node 22 ou mais recente; no Node 20 o cache de análise pode não estar disponível. Rodar depwire parse . antes permite que o MCP inicie a partir do grafo salvo.
- Integrações
- 24 ferramentas, em sua maioria consultas somente leitura (get_dependents, impact_analysis, find_dead_code, simulate_change, security_scan). Ferramentas de escrita: update_project_docs, claim_files, release_files e record_decision escrevem em .depwire/. Também há CLI, SDK, GitHub Action, hook de pre-commit e extensão do VS Code.
- Dados e privacidade
- Roda localmente via stdio; sem telemetria e sem enviar código ao Depwire. As varreduras de segurança auditam dependências por padrão, o que envia metadados de dependências a registros de pacotes e serviços de avisos; --no-dependency-audit desliga isso. O connect_repo clona URLs do GitHub, uma via de prompt injection. O aviso GHSA-h5xc-3hqf-qqm2 (contorno de caminhos protegidos por link simbólico) foi corrigido na v1.28.3.
- Custo em escala
- Gratuito para uso pessoal e interno em empresas. Depwire Cloud e VS Code Pro custam $9.99/mês; licença comercial para produtos construídos sobre ele é tratada por e-mail, preço não publicado.
- Limites
- Os analisadores capturam só as construções que suportam; arquivos acima de 1 MB são ignorados. O verify_change devolve not_comparable para a segurança de grupos cíclicos em conteúdo editado e não roda build nem testes. O endpoint /pr-review do Cloud retorna HTTP 503 desde 18 de outubro de 2026.
O que é bom
- Simulação de cinco tipos de refatoração
- Grafo determinístico, sem embeddings
- 16 linguagens mais templates do Angular
- Franco sobre benchmarks retirados e limites do analisador
O que não é
- BUSL-1.1, só vira código aberto em 2029
- Cerca de 70 estrelas e um único autor principal
- connect_repo clona repositórios não confiáveis para o contexto
- O grafo perde relações que seus analisadores não suportam
Ideal para
Engenheiros em bases de código médias de TypeScript, Python ou JVM que querem que um agente verifique o alcance de uma refatoração antes de editar.
Alternativas ao Depwire
Depwire: perguntas frequentes
- Depwire vale a pena?
- Uma ferramenta de grafo cuidadosa e honesta para saber o que uma mudança vai quebrar, limitada por uma base de usuários pequena e por uma licença que não é de código aberto. Damos nota 3.6 de 5.
- Quanto custa Depwire?
- A CLI e o servidor MCP são gratuitos para uso pessoal e interno sob BUSL-1.1. O Depwire Cloud e os recursos Pro da extensão do VS Code custam $9.99/mês.
- Quais são as desvantagens de Depwire?
- BUSL-1.1, só vira código aberto em 2029; cerca de 70 estrelas e um único autor principal; connect_repo clona repositórios não confiáveis para o contexto; o grafo perde relações que seus analisadores não suportam.
- Para quem Depwire é indicado?
- Engenheiros em bases de código médias de TypeScript, Python ou JVM que querem que um agente verifique o alcance de uma refatoração antes de editar.
- Quanto custa Depwire para uma equipe ou em produção?
- Gratuito para uso pessoal e interno em empresas. Depwire Cloud e VS Code Pro custam $9.99/mês; licença comercial para produtos construídos sobre ele é tratada por e-mail, preço não publicado.
- Depwire é seguro para dados da empresa?
- Roda localmente via stdio; sem telemetria e sem enviar código ao Depwire. As varreduras de segurança auditam dependências por padrão, o que envia metadados de dependências a registros de pacotes e serviços de avisos; --no-dependency-audit desliga isso. O connect_repo clona URLs do GitHub, uma via de prompt injection. O aviso GHSA-h5xc-3hqf-qqm2 (contorno de caminhos protegidos por link simbólico) foi corrigido na v1.28.3.
- Quais são as melhores alternativas ao Depwire?
- As alternativas mais próximas que analisamos são codebase-memory-mcp, CocoIndex Code, CodeGraph e Serena.
Respostas verificadas em 11 de nov. de 2026.