Контейнеры и CI/CD

Конфиг автообновления зависимостей

Конфиг автообновления зависимостей: расписание, лимит одновременных запросов, выдержка версии и правила автослияния. Renovate — и тот же набор для Dependabot.

Когда и сколько

Расписание

Часовой пояс

Расписание считается по нему

Открытых запросов разом

Выдержка версии, дней

Свежий релиз игнорируется, пока не отлежится

Метки

Через запятую

Назначить на

Логин на GitHub, можно пусто

Что сливать без человека

Инструменты разработкиdevDependencies, мелкие версии — самиПатчи в рабочих зависимостяхТолько если на каждый запрос гоняются тестыМелкие обновления одной пачкойОдин запрос вместо десятиОбновлять лок-файл раз в месяцПодтягивает свежие вложенные зависимостиКоммиты в стиле conventionalfix(deps): вместо произвольного текстаНе предлагать крупные версииМажорные обновления делаются руками

renovate.json

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": [
    "config:recommended",
    ":semanticCommits",
    ":dependencyDashboard"
  ],
  "timezone": "Europe/Moscow",
  "schedule": [
    "before 9am on monday"
  ],
  "prConcurrentLimit": 3,
  "prHourlyLimit": 2,
  "minimumReleaseAge": "3 days",
  "labels": [
    "dependencies"
  ],
  "lockFileMaintenance": {
    "enabled": true,
    "schedule": [
      "before 9am on the first day of the month"
    ]
  },
  "vulnerabilityAlerts": {
    "labels": [
      "security"
    ],
    "schedule": []
  },
  "packageRules": [
    {
      "description": "Инструменты разработки обновляются сами",
      "matchDepTypes": [
        "devDependencies"
      ],
      "matchUpdateTypes": [
        "minor",
        "patch"
      ],
      "automerge": true
    },
    {
      "description": "Мелкие обновления одной пачкой",
      "matchUpdateTypes": [
        "minor",
        "patch"
      ],
      "groupName": "мелкие обновления"
    },
    {
      "description": "Крупные версии — по одной и с разбором",
      "matchUpdateTypes": [
        "major"
      ],
      "automerge": false,
      "labels": [
        "major"
      ]
    }
  ]
}

То же для Dependabot

Экосистема

.github/dependabot.yml

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    open-pull-requests-limit: 3
    labels:
      - "dependencies"
    groups:
      minor-and-patch:
        update-types:
          - "minor"
          - "patch"

  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      interval: "monthly"

Dependabot умеет заметно меньше: у него нет выдержки версии и автослияния — слияние настраивается отдельным правилом репозитория. Поэтому конфиг короче, а не потому, что что-то потерялось.