cuando se instala una dependencia sin especificar si es --save o --save-dev . Que flag toma por default?

Dependerá para que se esté usando dentro de la aplicación, por ejemplo, si es algo que solo te sirve mientras estás desarrollándola, pero en el build final o al poner el producción esta no sirve, como por ejemplo dependencias de testing, se guardan como dev. En cambio, las que necesitas en producción como express, se guardan de forma normal en dependencies.

en el --no-save se me escapó un *, va sin eso.

Anteriormente tenias que especificar algun flag, pero en npm hicieron unos cambios y ahora el flag por defecto es --save, este flag permite que se actualice tu archivo package.json

Hay otras opciones como --save-dev que actualiza el devDependencies en tu package. Con esto puedes usar la dependencia solo en desarrollo local y para hacer pruebas.

Tambien tienes la el flag --no-save* que instala la dependencia pero no actualiza tu package.

Aquí puedes conseguir información con mas detalle

https://docs.npmjs.com/cli/v6/commands/npm-install