Pourquoi une mise à jour de dépendance en version patch casse-t-elle encore mon application en production ?

Le versionnage sémantique est une convention, pas un contrat. L'analyse systématique des écosystèmes logiciels confirme que les versions patch et mineures introduisent régulièrement des changements comportementaux incompatibles qu'aucun outil d'analyse statique ne détecte, et 68 % des ruptures npm observées appartiennent à cette catégorie comportementale la plus difficile à détecter automatiquement. Les dégâts transitent principalement par les dépendances transitives, dont seulement 21 % bénéficient d'une couverture de tests dans la nature. Les scanners de dépendances signalent les CVE de sécurité, mais ne disposent d'aucun mécanisme pour détecter les incompatibilités sémantiques à deux niveaux de profondeur. Un développeur qui met à jour une dépendance directe aujourd'hui ne dispose d'aucun outil lui indiquant quel comportement en production va changer.