Acerca de Dependabot version updates
Dependabot te evita el esfuerzo de mantener tus dependencias. Puedes utilizarlo para garantizar que tu repositorio se mantenga automáticamente con los últimos lanzamientos de los paquetes y aplicaciones de los que depende.
Cuando Dependabot genera solicitudes de incorporación de cambios, pueden ser para actualizaciones de seguridad o de versión:
- Dependabot security updates son solicitudes de incorporación de cambios automatizadas que ayudan a actualizar las dependencias con vulnerabilidades conocidas.
- Dependabot version updates son solicitudes de incorporación de cambios automatizadas que mantienen actualizadas las dependencias, incluso cuando no tienen ninguna vulnerabilidad. Para verificar el estado de las actualizaciones de versión, navega a la pestaña de perspectivas de tu repositorio, luego a la gráfica de dependencias, y luego al Dependabot.
Para habilitar Dependabot version updates , compruebe un dependabot.yml archivo de configuración en el repositorio.
Dependabot y todas las características relacionadas. Para más información, consulta Términos del cliente empresarial de GitHub.
Actualizaciones de paquetes
El dependabot.yml archivo de configuración especifica la ubicación del manifiesto o de otros archivos de definición de paquete almacenados en el repositorio.
Dependabot usa esta información para comprobar si hay paquetes y aplicaciones obsoletos.
Dependabot determina si hay una nueva versión de una dependencia examinando el control de versiones semántico (semver) de la dependencia para decidir si debe actualizarse a esa versión. Para más información sobre los ecosistemas compatibles con los repositorios privados, consulta Ecosistemas y repositorios admitidos por Dependabot.
El archivo dependabot.yml también se puede configurar para indicarle a Dependabot cómo gestionar tus dependencias. Para obtener más información, vea Acerca del archivo dependabot.yml.
Para determinados gestores de paquetes, Dependabot version updates también admite la vendorización. Las dependencias delegadas (o almacenadas en caché) son aquellas que se registran en un directorio específico en un repositorio en vez de que se referencien en un manifiesto. Las dependencias delegadas a proveedores están disponibles desde el momento de su creación, incluso si los servidores de paquetes no se encuentran disponibles. Dependabot version updates se puede configurar para comprobar las dependencias proporcionadas por el proveedor para las nuevas versiones y actualizarlas si es necesario.
Cuando Dependabot identifica una dependencia obsoleta, genera una solicitud de incorporación de cambios para actualizar el manifiesto a la versión más reciente de la dependencia. En el caso de las dependencias proporcionadas, Dependabot genera una solicitud de incorporación de cambios para reemplazar la dependencia obsoleta por la nueva versión directamente. Verificas que tu prueba pase, revisas el registro de cambios y notas de lanzamiento que se incluyan en el resumen de la solicitud de extracción y, posteriormente, lo fusionas. Para obtener más información, vea Configuración de las actualizaciones de versiones de Dependabot.
Si habilita las actualizaciones de seguridad, Dependabot también genera solicitudes de incorporación de cambios para actualizar las dependencias vulnerables. Para obtener más información, vea Actualizaciones de seguridad de Dependabot.
Actualizaciones de acciones
Las acciones a menudo se actualizan con correcciones de errores y con nuevas características para que los procesos automatizados sean más confiables, rápidos y seguros. Al habilitar Dependabot version updates para GitHub Actions, Dependabot le ayudará a asegurarse de que las referencias a acciones en el archivo workflow.yml de un repositorio y los flujos de trabajo reutilizables que se usan en los flujos de trabajo se mantienen actualizados.
Para cada acción del archivo, Dependabot comprueba la referencia de la acción (normalmente un número de versión o un identificador de confirmación asociado a la acción) en la versión más reciente. Si hay disponible una versión más reciente de la acción, Dependabot le enviará una solicitud de incorporación de cambios que actualice la referencia en el archivo de flujo de trabajo a la versión más reciente.
Dependabot también comprueba los archivos de flujo de trabajo para los usos de flujos de trabajo reutilizables y actualiza la referencia de Git para estos denominados flujos de trabajo reutilizables.
Para habilitar esta característica, consulte Mantener tus acciones actualizadas con el Dependabot.
Acerca de la desactivación automática de Dependabot updates
Cuando los mantenedores de un repositorio dejan de interactuar con las solicitudes de cambios de Dependabot, Dependabot pausa temporalmente sus actualizaciones y te informa de ello; consulta Ya no se generan actualizaciones de solicitudes de incorporación de cambios de actualización de Dependabot.
Información sobre las notificaciones de actualizaciones de versión de Dependabot
Puede filtrar tus notificaciones en GitHub para mostrar las notificaciones de las solicitudes de extracción creadas por Dependabot. Para obtener más información, vea Administrar las notificaciones en tu bandeja de entrada.