Un punto di ingresso è il percorso di codice che un pacchetto Node.js espone quando un altro programma lo importa o lo esegue direttamente. In pratica, questo è solitamente controllato da campi come main o exports, che indicano a Node.js quale file caricare per primo e quali funzioni o moduli sono disponibili per i chiamanti.
Questo è importante nella sicurezza informatica perché un comportamento malevolo può nascondersi nella normale logica del pacchetto invece che negli script eseguiti durante l'installazione. Una dipendenza può sembrare innocua durante l'installazione, per poi attivare azioni indesiderate solo quando il suo codice esportato viene usato a runtime. I difensori esaminano i punti di ingresso per capire quale codice viene effettivamente eseguito, limitare la fiducia nei pacchetti simili a quelli legittimi e testare le funzioni che le applicazioni chiamano davvero. Controllare solo gli hook di installazione non basta quando il comportamento rischioso si trova dietro l'interfaccia pubblica del pacchetto.