Dependabot вводит трехдневный кулдаун перед выпуском обновлений зависимостей
GitHub добавил стандартный трёхдневный паузу перед созданием pull‑request‑ов Dependabot, чтобы разработчики и исследователи успели исправить уязвимости до внедрения кода.
Что изменилось?
GitHub объявил о вводе трёхдневного кулдауна как нового значения по умолчанию для Dependabot. Теперь после публикации новой версии пакета Dependabot будет ждать 72 часа, прежде чем создать pull‑request с обновлением зависимости.
Почему это важно?
- Безопасность – за время паузы разработчики и исследователи могут проверить, нет ли в новой версии скрытых уязвимостей, и при необходимости откатить или исправить их до автоматического внедрения.
- Снижение шума – уменьшится количество срочных PR, которые часто появляются сразу после выпуска версии, но требуют дополнительного аудита.
- Контроль качества – команды получают время для тестов, ревью и согласования изменений, что особенно ценно в крупных проектах с множеством зависимостей.
Как это работает?
- Публикация новой версии пакета в реестре (npm, Maven, PyPI и др.).
- Dependabot фиксирует событие, но вместо мгновенного PR откладывает его на 3 дня.
- За этот период разработчики могут проверить релиз‑ноты, протестировать изменения в изолированных ветках и сообщить о найденных проблемах.
- По истечении кулдауна Dependabot автоматически создаст PR, если не будет отменён вручную.
Что дальше?
GitHub обещает, что кулдаун будет конфигурируемым через файл .github/dependabot.yml, позволяя командам задавать собственные интервалы или отключать паузу полностью. Подробнее о настройке можно прочитать в официальной документации Dependabot.
Для разработчиков это значит больше времени на проверку безопасности перед тем, как новые зависимости попадут в прод. Особенно полезно в проектах с высоким уровнем риска – финансовые сервисы, медтехнику и т.п. Однако стоит помнить, что задержка может замедлить доставку критических исправлений, поэтому гибкая настройка кулдауна будет ключевой.
