Dependabot

Atualizações automatizadas de dependências e alertas de vulnerabilidade dentro do GitHub

dependenciesautomation
Sitegithub.com
CategoriaCI/CD e código
PreçoGratuito
Cartão obrigatórioNão
← ← Voltar ao diretórioAcessar Dependabot ↗ ↗

SOBRE

O que é Dependabot?

O Dependabot é uma ferramenta automatizada de gerenciamento de dependências integrada ao GitHub. Ele verifica repositórios em busca de dependências desatualizadas ou vulneráveis e cria pull requests para atualizá-las. A ferramenta oferece suporte à maioria dos principais ecossistemas de pacotes e pode ser configurada para executar em uma programação definida ou sob demanda.

ANTES DE SE CADASTRAR

O que você precisa saber

✓
Automatiza atualizações de dependências com configuração mínimaAtive o Dependabot em qualquer repositório e ele verificará manifestos automaticamente, detectará pacotes desatualizados e abrirá PRs para atualizar as versões.
✓
Integração direta com alertas de segurança do GitHubOs alertas do Dependabot mostram vulnerabilidades no seu grafo de dependências e podem abrir automaticamente PRs de atualização de segurança com a correção.
△
Pode gerar muitos PRs em projetos grandesProjetos com muitas dependências podem receber dezenas de PRs de atualização por semana, exigindo um fluxo de triagem para evitar o esgotamento dos responsáveis pela manutenção.
✕
Atualizações às vezes introduzem mudanças incompatíveisO Dependabot atualiza versões com base em intervalos semver, mas nem todas as mudanças incompatíveis são detectadas pelos testes, causando falhas na CI.

COMUNIDADE

Nos fóruns

Desenvolvedores no Reddit e no HN apreciam a praticidade do Dependabot para manter as dependências atualizadas com pouco esforço. Entre as reclamações estão pull requests em excesso, que podem sobrecarregar os responsáveis pela manutenção, e mudanças incompatíveis ocasionais causadas por atualizações. A aquisição pelo GitHub e a integração profunda com a plataforma são vistas positivamente.

— Opinião da comunidade

💬Discutir no Reddit ↗

VEJA TAMBÉM · CI/CD e código

Alternativas ao Dependabot

Buildkite

Freemium

Pipelines de CI flexíveis com computação Linux hospedada ou agentes de build próprios

CircleCI

Freemium

Pipelines hospedados flexíveis com vários executores e jobs paralelos

Codecov

Freemium

Transforme uploads de cobertura de código em verificações de pull request e relatórios visuais

SOBRE NÓS

Transparência e independência, sem enrolação.

Sem espaços pagos. Apenas uma visão clara do que a ferramenta faz, quanto custa e o que você precisa saber antes de adotá-la.

Saiba mais→

DÚVIDAS FREQUENTES

Perguntas respondidas.

Quais ecossistemas de pacotes o Dependabot oferece suporte?＋

O Dependabot oferece suporte a npm, pip, Maven, Gradle, NuGet, módulos Go, Cargo, Bundler, Composer e muitos outros. O GitHub mantém uma lista completa dos ecossistemas compatíveis em sua documentação.

O Dependabot faz merge automático dos pull requests?＋

Não, o Dependabot cria pull requests, mas não faz o merge automático. Você pode ativar o merge automático do GitHub no PR, mas o próprio Dependabot apenas abre e atualiza os PRs e, opcionalmente, faz rebase deles.

Posso limitar o Dependabot apenas a atualizações de segurança?＋

Sim, o Dependabot pode ser configurado para criar pull requests somente para atualizações de segurança. Também é possível limitar as atualizações a ecossistemas específicos, definir um máximo de PRs abertos e programar as atualizações para ocorrer semanalmente em vez de diariamente.