Dependabot version updates introduce default package cooldown - GitHub Changelog

Dependabot version updates introduce default package cooldown Dependabot now waits until a new release has been available on its registry for at least three days before opening a version update pull request. This cooldown is now the default and requires no configuration. New releases are a common entry point for supply chain attacks where a compromised or broken version can reach your dependency u

[efcl]

GitHub Dependabotのversion updatesで、パッケージ公開から3日待ってPRを作るcooldownの設定がデフォルトに変更。 Security updatesは即時にPRを作成し、`.github/dependabot.yml`の`cooldown`オプションで待機期間の変更や無効化ができる。

[nguyen-oi]

サプライチェーン攻撃対策で3日間の冷却期間を置くの、デフォルトで有効になるのは心強い

[mkusaka]

Dependabotのversion更新は登録後3日待ってからPR作成。デフォルト適用で設定不要、セキュリティ更新は即時。