## Intro La mise à niveau d'une API Express peut apporter de meilleures performances, des correctifs de sécurité et une ergonomie développeur améliorée. Pourtant, même de légères modifications de comportement peuvent casser les clients si le déploiement est précipité. Ce guide montre un chemin pratique pour mettre à jour Express en toute sécurité, avec des exemples que vous pouvez adapter à de vrais projets. Vous apprendrez à : - Inventorier les versions et les environnements pour clarifier le périmètre et les contraintes - Choisir un parcours de migration à faible risque qui préserve la continuité du service - Implémenter un pilote étroit et testable avec des drapeaux de fonctionnalité (feature flags) - Vérifier le comportement et diagnostiquer les problèmes à l'aide de vérifications simples et reproductibles - Gérer les modes de défaillance et effectuer un rollback propre si nécessaire Les mises à niveau les plus fiables commencent par un petit pilote mesurable, facile à inspecter avant tout déploiement. Cela contient le risque et rend les problèmes visibles tôt. ## Inventaire des versions et des environnements Avant de toucher au code, capturez ce qui tourne actuellement et ce qui est prévu après la mise à niveau. Cela évite les surprises et définit les critères de succès. - Version de Node.js et plateforme (par exemple Node 18 sur Linux x86_64) - Version d'Express et middleware clés (analyse de corps, CORS, authentification) - Topologie de l'application (instance unique, multiples instances, ou derrière un load balancer) - Profil du trafic (RPS maximal, tailles de payload maximales, attentes de latence) - Drivers de la couche de données (par exemple driver MongoDB) et leurs notes de compatibilité - Observabilité (logs, métriques, tracing) et SLOs ou alertes qui doivent rester verts Un tableau d'inventaire concis aide à aligner l'équipe. Voici un exemple construit.

Composant	Actuel	Cible	Propriétaire	Notes
Node.js	16.20.2	18.19.x LTS	Équipe API	Mettre à jour le champ engines dans package.json
Express	4.18.2	5.0.x	Équipe API	Gestionnaires async, mises à jour body parsing
Body parsing	body-parser 1.20	express.json()	Équipe API	Remplacer l'usage de body-parser
CORS	cors 2.8.x	cors 2.8.x	Plateforme	Conserver la config ; vérifier le preflight
Driver DB	mongodb 4.13	5.x (optionnel)	Équipe Data	Reporter si sans lien

## Parcours de configuration sûr Un parcours sûr minimise le rayon d'impact et permet une récupération rapide. Adoptez ces principes : - Étape les changements derrière un drapeau de fonctionnalité - Introduisez un routeur v2 monté sur /v2 . Laissez les routes v1 intactes. - Contrôlez l'activation avec une variable d'environnement, par exemple EXPRESS_V2=1 . - Commencez étroit et mesurable - Testez une seule route à faible risque (par exemple GET /v2/health ou une ressource en lecture seule) pour comparer le comportement précisément. - Étendez uniquement quand le pilote correspond aux attentes. - Verrouillez les versions et les installations - Mettez à jour package.json avec des versions explicites et conservez un lockfile (package-lock.json). - Utilisez npm ci dans les installations automatisées pour garantir la reproductibilité. - Gardez le rollback peu coûteux - Taguez la dernière version connue bonne et conservez son lockfile. - Évitez les changements de format de données irréversibles pendant le pilote. Cette approche par étapes réduit le retravail et la confusion en séparant planification, implémentation, validation et déploiement en points de contrôle clairs. ## Implémentation de la mise à niveau avec exemples Les exemples ci-dessous supposent une mise à niveau d'Express 4.18.x vers 5.0.x sur Node 18 LTS. Adaptez les étapes si vos versions diffèrent. ### 1) Préparer la branche et les dépendances Mettez à jour Node localement et dans tout runtime : node -v # Attendu v18.x.x Mettez à jour package.json avec les changements suivants : - Définissez engines.node sur ">=18 <21" - Changez la dépendance express vers "^5.0.1" - Conservez cors à "^2.8.5" - Supprimez body-parser des dépendances Installez avec un lockfile propre : npm install npm ls express # Doit afficher express@5.x ### 2) Remplacer la configuration d'analyse de corps obsolète Si vous utilisez body-parser, remplacez-le par les analyseurs intégrés d'Express 5 : Avant (style Express 4) : const express = require('express'); const bodyParser = require('body-parser'); const app = express(); app.use(bodyParser.json()); app.use(bodyParser.urlencoded({ extended: true })); Après (Express 5) : const express = require('express'); const app = express(); app.use(express.json({ limit: '1mb' })); app.use(express.urlencoded({ extended: true })); Astuce : conservez les mêmes limites de taille de requête ou définissez-en de nouvelles explicitement. Changer les limites peut provoquer des erreurs 413 inattendues. ### 3) Moderniser la gestion d'erreurs asynchrone Dans Express 4, les gestionnaires de route asynchrones nécessitent des wrappers pour propager les erreurs. Express 5 traite les rejets de promesse comme des erreurs et les transmet automatiquement au middleware d'erreur. Avant (Express 4 avec catch manuel) : app.get('/v1/items/:id', (req, res, next) => { getItem(req.params.id) .then(item => res.json(item)) .catch(next); }); Après (Express 5, async natif) : app.get('/v2/items/:id', async (req, res) => { const item = await getItem(req.params.id); // lève en cas d'erreur res.json(item); }); Conservez un gestionnaire d'erreurs global pour standardiser les réponses : app.use((err, req, res, next) => { const status = err.status || 500; const message = err.expose ? err.message : 'Internal Server Error'; console.error('requestId=%s status=%d err=%s', req.id || '-', status, err.stack || err); res.status(status).json({ error: message }); }); ### 4) Ajouter un routeur v2 sous drapeau de fonctionnalité Montez un nouveau routeur sur /v2 et contrôlez-le avec une variable d'environnement. const express = require('express'); const app = express(); const enableV2 = process.env.EXPRESS_V2 === '1'; // Routes v1 (inchangées) const v1 = express.Router(); v1.get('/health', (req, res) => res.json({ status: 'ok', version: 'v1' })); v1.get('/items/:id', (req, res) => res.json({ id: req.params.id, source: 'v1' })); app.use('/v1', v1); // Routes v2 (idiomes Express 5) const v2 = express.Router(); v2.get('/health', (req, res) => res.json({ status: 'ok', version: 'v2' })); v2.get('/items/:id', async (req, res) => { const item = await getItem(req.params.id); res.json({ ...item, source: 'v2' }); }); if (enableV2) { app.use('/v2', v2); console.log('routes v2 activées'); } else { console.log('routes v2 désactivées'); } app.listen(3000, () => console.log('API en écoute sur :3000')); Cela permet d'exécuter v1 et v2 côte à côte. Vous pouvez activer v2 en non-production d'abord, puis l'activer en production progressivement. ### 5) Protéger la compatibilité aux frontières - Validation des requêtes : validez les entrées tôt et renvoyez des codes 4xx cohérents. - Forme des réponses : ne modifiez pas les champs des réponses v1. Pour v2, documentez tout changement intentionnel. - CORS et en-têtes : assurez-vous que le comportement preflight et les en-têtes de cache restent compatibles. Exemple CORS avec origines et en-têtes explicites : const cors = require('cors'); app.use(cors({ origin: ['https://app.example.com'], methods: ['GET','POST','PUT','DELETE'], allowedHeaders: ['Content-Type','Authorization'], maxAge: 600 })); ### 6) Maintenir l'ordre des routes prévisible Express fait correspondre les routes dans l'ordre d'enregistrement. Pendant la migration, gardez les montages v1 et v2 explicites et évitez les routes catch-all qui pourraient avaler v2. Par exemple, enregistrez app.use('/v2', v2) avant tout wildcard comme app.use('*', ...) . ## Vérification et diagnostics La vérification doit être rapide, objective et reproductible. Utilisez curl ou votre client HTTP favori pour comparer les réponses v1 et v2. Démarrez le serveur : EXPRESS_V2=1 node server.js Vérification de santé : curl -sS -i http://localhost:3000/v1/health curl -sS -i http://localhost:3000/v2/health Attendu : 200 OK, JSON avec status: ok et le champ version correct. Lecture de données chemin nominal (exemple construit) : curl -sS -i http://localhost:3000/v1/items/123 curl -sS -i http://localhost:3000/v2/items/123 Attendu : les deux 200. v1 inclut { source: "v1" } , v2 inclut { source: "v2" } et champs sinon identiques. Chemin d'erreur (non trouvé) pour vérifier la gestion d'erreurs : curl -sS -i http://localhost:3000/v2/items/does-not-exist Attendu : 404 avec un JSON d'erreur stable, par exemple { "error": "Not Found" } si votre getItem lève une erreur de type 404. Assurez-vous que les traces de pile ne sont pas exposées. Limites d'analyse de corps (exemple construit) : python - <<'PY' import requests, json big = 'x' * (1024*1024) # 1 MB r = requests.post('http://localhost:3000/v2/items', json={'data': big}) print(r.status_code) print(r.text[:120]) PY Attendu : 413 si votre limite express.json est 1mb. Ajustez la limite ou le comportement client selon la politique. Une matrice de vérification simple clarifie quoi vérifier et quoi attendre.

Vérification	Commande	Attendu
santé v1	curl -sS -i :3000/v1/health	200, version=v1
santé v2	curl -sS -i :3000/v2/health	200, version=v2
lecture v2	curl -sS -i :3000/v2/items/123	200, mêmes champs que v1
non trouvé v2	curl -sS -i :3000/v2/items/does-not-exist	404, JSON d'erreur stable
taille corps	POST 1,5MB JSON vers /v2/items	413 ou 200 selon politique

Astuces de diagnostic : - Logs : incluez un ID de requête pour corréler les entrées. Loguez le code de statut, la route, la latence et toute erreur. - Métriques : suivez les taux 2xx/4xx/5xx, les percentiles de latence et les catégories d'erreur par groupe de routes (v1 vs v2). - Diff des réponses : en environnement non-production, appelez v1 et v2 avec les mêmes entrées et comparez les clés et types JSON. ## Modes de défaillance et récupération Même une mise à niveau soignée peut échouer. Planifiez des déclencheurs précis et des étapes de récupération éprouvées. Modes de défaillance courants : - Changement de priorité des routes : une route wildcard correspond avant v2, renvoyant 404 ou le mauvais payload. - Différences d'analyse de corps : nouvelles limites causant erreurs 413 ou problèmes de performance. - Propagation d'erreurs async : rejets de promesse non gérés remontent au middleware d'erreur et modifient les codes de réponse. - Incompatibilité de version Node : le runtime déployé est plus ancien que la version requise, causant erreurs de syntaxe ou d'exécution. - Incompatibilité d'en-têtes ou CORS : les navigateurs échouent au preflight ou bloquent les réponses. - Effets de bord des dépendances : mises à jour transitives modifiant la validation ou la sérialisation. Définissez des déclencheurs de rollback objectifs et des actions. Le tableau ci-dessous est un exemple construit.

Déclencheur	Action	Vérification
>2% 5xx sur routes v2 pendant 5 min	Désactiver EXPRESS_V2 et redémarrer	v2 désactivé, 5xx revient au niveau de base
Latence p95 +50% sur v2	Désactiver EXPRESS_V2, investiguer	Latence revient au niveau de base
Rapports d'erreurs clients en hausse	Désactiver EXPRESS_V2 pour les routes affectées	Erreurs stoppées dans un cycle de release
Incompatibilité Node détectée	Redéployer le dernier artefact connu bon	Health checks verts, logs propres

Playbook de rollback : - Désactiver rapidement le routeur v2 - Retirez le drapeau de fonctionnalité ou définissez EXPRESS_V2=0 et redémarrez le processus. - Confirmez que les routes /v2 ne sont plus servies ou sont redirigées vers les gestionnaires legacy. - Restaurer les dépendances - Revenir à package.json et package-lock.json du dernier commit connu bon. - Réinstaller proprement avec npm ci pour correspondre exactement au lockfile. - Re-vérifier - Exécuter les vérifications pour v1. - Confirmer que taux d'erreurs, latence et logs reviennent au niveau de base. - Analyser la cause racine, puis réessayer dans un périmètre plus réduit - Réduire le pilote ou ajouter des logs supplémentaires autour de la zone défaillante. - Corriger, retester localement, puis réactiver en environnement non-production. Vérifications de récupération : - Tous les health checks 200 pendant 10 minutes à trafic stable. - Aucune rafale d'erreurs ni nouvelle alerte. - Les clients confirment le comportement restauré s'ils avaient signalé des erreurs. ## Check-list opérationnelle Utilisez ceci comme séquence pratique et reproductible. Planification - Convenir des versions actuelles et cibles pour Node et Express. - Documenter les 3 principaux risques et leurs mitigations (ex : ordre des routes, taille du corps, erreurs async). - Sélectionner un endpoint à faible risque pour le pilote. Préparation - Créer un routeur v2 sous drapeau à /v2 . - Remplacer body-parser par express.json et express.urlencoded. - Mettre à jour le middleware d'erreur pour standardiser les réponses. - Verrouiller les versions de dépendances ; commiter le lockfile. Vérification locale - Exécuter node -v et npm ls express pour confirmer les versions. - Tester /v1/health et /v2/health localement ; comparer les réponses. - Exercer les chemins de succès et d'échec pour la route pilote. Déploiement non-production - Activer EXPRESS_V2=1 en environnement non-production. - Exécuter la matrice de vérification ; capturer logs et métriques par groupe de routes. - Corriger tout écart avant d'avancer. Déploiement production - Activer EXPRESS_V2 pour un sous-ensemble de trafic ou pour des clients non critiques d'abord. - Surveiller taux 2xx/4xx/5xx, latence et retours clients. - Étendre le périmètre progressivement quand c'est stable. Préparation au rollback - Conserver le dernier artefact connu bon et son lockfile. - Documenter et tester les étapes pour désactiver v2 rapidement. Post-mise à niveau - Supprimer les dépendances legacy (ex : body-parser) une fois v2 pleinement adopté. - Mettre à jour la documentation client si vous introduisez des comportements v2-only. - Planifier les améliorations suivantes (ex : validation d'entrée, rate limiting). ## Exemples pratiques regroupés Ci-dessous une référence compacte que vous pouvez coller dans un serveur minimal pour expérimenter les concepts. Elle utilise un comportement construit pour l'illustration. // server.js (exemple construit) const express = require('express'); const cors = require('cors'); const app = express(); app.use(express.json({ limit: '1mb' })); app.use(express.urlencoded({ extended: true })); app.use(cors({ origin: ['http://localhost:8080'], methods: ['GET','POST'] })); function notFound(id) { const e = new Error('Not Found'); e.status = 404; e.expose = true; return e; } async function getItem(id) { if (id === '123') return { id: '123', name: 'demo' }; throw notFound(id); } const v1 = express.Router(); v1.get('/health', (req, res) => res.json({ status: 'ok', version: 'v1' })); v1.get('/items/:id', (req, res) => res.json({ id: req.params.id, source: 'v1' })); app.use('/v1', v1); const v2 = express.Router(); v2.get('/health', (req, res) => res.json({ status: 'ok', version: 'v2' })); v2.get('/items/:id', async (req, res) => { const item = await getItem(req.params.id); res.json({ ...item, source: 'v2' }); }); app.use((err, req, res, next) => { const status = err.status || 500; const message = err.expose ? err.message : 'Internal Server Error'; res.status(status).json({ error: message }); }); if (process.env.EXPRESS_V2 === '1') app.use('/v2', v2); app.listen(3000, () => console.log('listening on 3000')); Exécution et tests : # Installer les dépendances npm install express@^5 cors@^2.8 # Activer v2 EXPRESS_V2=1 node server.js # Vérifier curl -s :3000/v1/health; echo curl -s :3000/v2/health; echo curl -s :3000/v2/items/123; echo curl -s -i :3000/v2/items/does-not-exist | head -n 1 Attendu : v1 et v2 health renvoient 200 avec des valeurs de version distinctes. v2 items/123 renvoie un payload JSON. La requête not-found renvoie 404 avec un JSON d'erreur stable. ## Conclusion Une mise à niveau prudente d'API Express n'a pas besoin d'être risquée ni complexe. Inventoriez vos versions et votre environnement, choisissez un parcours par étapes avec un routeur v2 sous drapeau de fonctionnalité, et commencez par une seule route mesurable. Vérifiez avec des checks simples et reproductibles. Quand des problèmes surviennent, utilisez des déclencheurs de rollback clairs et un plan de récupération testé pour restaurer le service rapidement. À partir de là, étendez la migration progressivement, supprimez les dépendances dépréciées et documentez tout changement de comportement intentionnel v2. Cette approche pilotée par l'exemple aide votre équipe à s'aligner, réduire le retravail et atteindre un résultat stable en toute confiance.