Dependabot の version updates は、パッケージがレジストリに公開されてから少なくとも 3 日経過するまで更新プルリクエストを開かなくなった。設定は不要で、github.com 上の対応エコシステム全体に既定で適用される。新規リリース直後の壊れた版やサプライチェーン攻撃を取り込みにくくするための待機である。
要点は次のとおり。
- 対象は version updates のみで、セキュリティ更新のプルリクエストは従来どおり即時に開く
.github/dependabot.ymlのcooldownで待機日数の変更やオプトアウトができるcooldown未設定でも既定の 3 日待機が効く- 特定依存を
excludeに入れると、その依存は cooldown 対象外になり即時更新される - GitHub Enterprise Server では 3.23 から有効になる
設定例（待機を延ばし、SemVer の段階ごとに日数を分ける）:
yaml
version: 2
updates:
- package-ecosystem: "npm"
directory: "/"
schedule:
interval: "daily"
cooldown:
default-days: 5
semver-major-days: 30
semver-minor-days: 7
semver-patch-days: 3