Dependabot wartet jetzt drei Tage, bevor er Version-Updates vorschlägt
Dependabot version updates introduce default package cooldown
GitHub führt für Dependabot-Versionsupdates eine standardmäßige Abkühlphase ein: Neue Releases müssen mindestens drei Tage in der Registry verfügbar sein, bevor ein Pull-Request erstellt wird. Diese Verzögerung soll verhindern, dass kompromittierte oder fehlerhafte Versionen direkt in Abhängigkeiten gelangen. Sicherheitsupdates sind ausgenommen und werden weiterhin sofort geöffnet. Die Einstellung lässt sich über die Option `cooldown` in der `.github/dependabot.yml` anpassen oder vollständig deaktivieren. Der Standard gilt für alle unterstützten Ökosysteme auf github.com und ab GHES 3.23.
Eine kurze Verzögerung gibt diesem Signal Zeit, an die Oberfläche zu gelangen, sodass du weniger wahrscheinlich eine schlechte Version in dem Moment übernimmst, in dem sie erscheint.