typosquat

typosquat

依存関係リスト向けのタイポスクワッティング検査ツールです。プロジェクトの package.json を読み込み、dependencies、devDependencies、peerDependencies、optionalDependencies からすべての依存関係名を収集し、同梱されている人気 npm パッケージ名のリストと比較します。人気パッケージそのものではなく、いずれかの名前に酷似している依存関係は、類似する人気パッケージを根拠として示しながら、タイポスクワッティングの可能性があるものとしてフラグ付けされます。

検査は完全にオフラインで決定的に実行されます。ネットワークへの呼び出しは行わず、タイムスタンプも付与せず、検出結果は依存関係名でソートされます。

インストール

npx @reneturcios/typosquat check .

または、グローバルにインストールします。

npm install -g @reneturcios/typosquat
typosquat check .

CLI

typosquat check [path] [--json]
typosquat mcp
typosquat --version

• check [path]：path にあるプロジェクトを検査します（package.json を含むディレクトリ、または package.json ファイルへの直接パス）。既定では現在のディレクトリが対象です。機械可読形式のレポートを出力するには、--json を追加します。
• mcp：stdio 経由で MCP サーバーを実行します。
• --version：バージョンを出力します。

終了コード：判定が CLEAR の場合は 0、SUSPECT の場合は 1、使用方法のエラー、および package.json がないか無効な場合は 2 です。

人が読みやすい形式での出力例：

typosquat 0.1.0
Target: .
Verdict: SUSPECT
Dependencies checked: 5
Flagged: 1
Summary: Checked 5 dependencies; 1 flagged as possible typosquats.
Findings:
- [HIGH] DISTANCE-1: Dependency "axioss" resembles popular package "axios" (edit distance 1) (evidence: axios)

MCP

MCP サーバーは、次のツールを1つ公開します。

• check_typosquat：path 引数を受け取ります。CLI の --json 出力と同じレポートを返します。内容は、ツール名、バージョン、対象、判定、件数（depsChecked、flagged）、検出結果、概要です。

照合ルール

比較の前に名前を小文字に正規化します。人気パッケージリストに含まれる依存関係そのものは、フラグ付けされません。それ以外の各依存関係には、最も一致度の高いルールが適用されます。

• SEPARATOR-SQUAT（重大度：高）：両方の名前からハイフン、アンダースコア、ドットを取り除くと依存関係名が人気パッケージ名と一致するものの、元の名前は異なります。例：node_fetch と node-fetch。
• DISTANCE-1（重大度：高）：人気パッケージ名とのレーベンシュタイン編集距離が1です。例：axioss と axios。
• DISTANCE-2（重大度：中）：長さが9文字以上の人気パッケージ名とのレーベンシュタイン編集距離が2です。編集距離2では、短い名前同士は、互いに2文字以内の無関係な名前が多すぎるため対象外です。例：typescrpit と typescript。

スコープの混同は検査されません。スコープ付きの人気パッケージ名のスコープなし部分だけと一致するスコープなしの依存関係（例：client と @prisma/client）は、フラグ付けするには根拠が弱すぎます。

判定

• CLEAR：人気パッケージ名に類似する依存関係はありませんでした。
• SUSPECT：少なくとも1つの依存関係がフラグ付けされました。

制限事項

• 人気パッケージリストは、npm エコシステムに関する知識を基に作成された、2026-10-25 時点のスナップショットです。新しいパッケージが人気になり、古いパッケージの人気が薄れるため、リストは実態からずれていきます。スナップショットではこうした変化を追跡できません。
• 編集距離で検出できるのはタイプミスであり、あらゆるスクワッティングの手法ではありません。コンボスクワッティング（人気の名前と追加の単語を組み合わせたもの。例：axios-helper）、同形異字文字やビットスクワッティング、また上記の区切り文字ルールを超えるスコープの悪用は検出できません。
• 検査するのは名前のみです。パッケージの内容、メンテナー、ダウンロード数、公開履歴は調べないため、悪意があるかどうかは判断できません。
• フラグ付けは類似性を示すものであり、非難を意味するものではありません。正当なパッケージが人気パッケージ名と編集距離1以内にある場合もあります。検出結果は不正行為の証拠ではなく、確認するきっかけとして扱ってください。

ライセンス

MIT