Dependabot、更新前に待機時間を導入

記事の3ポイント

1. 1

   サプライチェーン攻撃への対策強化

   npm などのパッケージレジストリで公開された直後に悪意あるコードが含まれるケースが増加しており、GitHub はこのリスクに対応するため更新の待機期間を導入した。

2. 2

   Dependabot のデフォルト動作変更

   セキュリティアップデートは即座に発行されるが、通常のバージョンアップにおいてはリリース公開から少なくとも3日後にプルリクエストが開かれるように設定が変更された。

3. 3

   ユーザーによる柔軟な設定維持

   dependabot.yml 内の cooldown 設定オプションにより、プロジェクトの要件に応じて待機期間を短縮または延長するカスタマイズが可能である。