4 min
RenovateとDependabotのレビュワーを一元管理する
RenovateとDependabotを併用する場合、CODEOWNERSファイルを活用することでレビュワー設定を一元管理できる。
17件
Bits · 16 件
Dependabot、Agent Package Manager
apm.yml に書いた git 依存を version updates で追従し、apm.lock.yaml があれば apm lock で再生成する。security updates の対象外。dependabot.yml では package-ecosystem apm を指定する。
Dependabot、Python 3.15
Python 3.15 へ移行したリポジトリでも pip 系の version updates を継続できる。github.com の全利用者向けで、GitHub Enterprise Server 3.24 に同梱予定。dependabot.yml の必須キーは従来どおり。
Dependabot、GitHub-hosted registries への自動アクセス
パッケージ設定の Manage Actions access で Read を付与したリポジトリなら、プライベートな GitHub Packages を PAT なしで読める。dependabot.yml の変更は不要。
Dependabot、pull-request-branch-name
.github/dependabot.yml で PR ブランチ名の prefix・最大長・区切り・大文字小文字・テンプレートを指定できる。github.com 全体と GHES 3.23 向け。
Dependabot、OpenSSF malicious-packages 由来のマルウェアアラート
GitHub Advisory Database が OpenSSF malicious-packages を取り込み、Dependabot のマルウェアアラート対象が npm 以外のエコシステムへ広がる。既に有効なら追加設定は不要。
Dependabot、version updates に既定 3 日の cooldown
Dependabot の version updates は、レジストリ上の新規リリースから少なくとも 3 日経過するまでプルリクエストを開かなくなった。設定なしで既定になり、セキュリティ更新は従来どおり即時に開く。
Dependabot、Deno 向けバージョン更新に対応
Dependabot が Deno プロジェクトのバージョン更新に対応した。`.github/dependabot.yml` に Deno エントリを追加すると、スケジュール実行で依存関係の更新プルリクエストが開かれる。セキュリティ更新は対象外。
GitHub Dependabot、sbt のバージョン更新に対応
Dependabot のバージョン更新が sbt エコシステムに対応し、`build.sbt` を監視して更新 PR を作成できるようになった。対象はバージョン更新で、セキュリティ更新は含まれない。
GitHub、Dependabotとcode scanningのOIDCレジストリ拡張
組織レベルのプライベートレジストリ向けOIDC認証で、CloudsmithとGoogle Artifact Registryが利用可能になった。対応は5種類のレジストリに広がり、github.comで一般提供。
Dependabot、エンタープライズ内の組織横断internalリポジトリアクセス
GitHub Enterprise 内で、別組織にホストされた internal リポジトリの依存関係に対して Dependabot がアクセスできるようになった。エンタープライズの Advanced Security ポリシーから、組織横断の internal リポジトリへのアクセスを一括付与できる。
Dependabotとcode scanningのOIDC組織設定対応
Dependabotとcode scanningが、組織レベルで設定したプライベートレジストリに対するOIDC認証に対応した。リポジトリシークレットに長期クレデンシャルを保存せずに運用できる。
Dependabot、Nix flakes のバージョン更新に対応
Dependabot の version updates が Nix flakes をサポートした。flake.lock の inputs を監視し、上流の新しいコミットに追従するプルリクエストを作成できる。
Dependabot、pre-commitフックをサポート
Dependabotがpre-commitフックの依存関係自動アップデートをネイティブにサポート。リビジョンの更新やグループ化に対応。
Dependabot OIDC認証対応
DependabotがOIDCを利用したプライベートレジストリ認証に対応。静的クレデンシャルの保存が不要に。
Dependabot Proxyオープンソース化
GitHub APIやプライベートパッケージレジストリへの認証を担うHTTPプロキシがMITライセンスでオープンソースとして公開。ソースコードのレビューやエコシステムのサポート追加が可能。
Dependabotコメントコマンドの非推奨化
GitHub Dependabotのプルリクエストコメントコマンドが2026年1月27日に非推奨化。@dependabot merge、@dependabot cancel merge、@dependabot squash and merge、@dependabot close、@dependabot reopenが対象。