Dependabotのcooldownとは｜依存関係更新を安全に待つ考え方

この記事でわかること

• Dependabot version updatesのcooldownが何を待つ仕組みなのか
• 既定の3日間cooldownと、security updatesの違い
• dependabot.ymlで待機日数を調整する考え方
• 依存関係更新PRを安全に確認する実務の流れ
• 待てば安全、すぐ更新すれば安全、という早とちりを避けるポイント

結論・重要ポイント

1. cooldownは、新しいパッケージ公開直後にすぐ通常更新PRを出さず、一定期間待つための仕組みです。
2. GitHub.comでは、Dependabot version updatesに既定で3日間のcooldownが適用されます。
3. この既定cooldownはversion updates向けで、脆弱性対応のsecurity updatesはすぐにPRが作成されます。
4. 必要に応じて、dependabot.ymlのcooldownで待機日数や対象依存関係を調整できます。
5. 実務では、待機日数だけでなく、テスト、リリースノート確認、ロールバック方針をセットで考えることが大切です。

対象読者と前提知識

この記事は、GitHubでリポジトリを管理していて、Dependabotの更新PRが多い、依存関係をすぐ更新してよいか迷う、という初学者向けです。

前提知識は、GitHubのPull Requestを見たことがあり、package.jsonやrequirements.txtのような依存関係ファイルがあることを知っている程度で問題ありません。ここでは主に、通常のバージョン更新とセキュリティ更新を分けて考えます。

3人による授業形式の会話

コード・操作手順・具体例

1. Dependabot version updatesを有効にする基本例

Dependabot version updatesは、リポジトリの**.github/dependabot.yml**で設定します。次はnpm依存関係を週1回確認する基本例です。

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"

この設定は、依存関係の通常更新PRを作るための例です。秘密情報や認証情報をこのファイルへ直接書かないでください。

2. cooldownを明示して調整する例

既定の3日より長く待ちたい場合は、cooldownを明示できます。次の例は、通常は7日待ち、メジャーアップデートだけ14日待つ設定例です。

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    cooldown:
      default-days: 7
      semver-major-days: 14

この例は考え方を示すものです。実際には、利用しているパッケージマネージャー、リリース頻度、テスト体制に合わせて調整します。

3. 一部の依存関係だけ対象にする例

includeやexcludeを使うと、cooldownを適用する依存関係を絞れます。次の例では、@example/から始まる依存関係は7日待ち、@example/urgent-libは待たずに通常更新対象へ戻します。

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    cooldown:
      default-days: 7
      include:
        - "@example/*"
      exclude:
        - "@example/urgent-lib"

公式資料では、excludeはincludeより優先されると説明されています。重要な依存関係を除外する場合は、なぜ除外するのかをチーム内で残しておくと後から確認しやすくなります。

4. 更新PRが来たときの確認手順

cooldownを設定していても、更新PRの確認は必要です。初学者は、次の順番で見ると判断しやすくなります。

1. PRの対象パッケージ名と更新前後のバージョンを見る
2. Dependabotが載せたリリースノートや変更点を見る
3. CIや自動テストの結果を見る
4. 破壊的変更、設定変更、削除予定の機能がないか確認する
5. 問題があれば保留し、必要なら検証環境で試す

特に、認証、課金、外部公開、データ削除に関わる依存関係では、更新PRを自動mergeだけに任せず、影響範囲を確認してください。

5. セキュリティ更新と通常更新を分けて扱う

Dependabot security updatesは、脆弱性対応のための更新PRです。通常のversion updatesとは目的が違います。

version updates:
  目的: 新機能、改善、通常のバージョン追従
  cooldown: 既定で3日待つ

security updates:
  目的: 既知の脆弱性への対応
  cooldown: 既定cooldownの対象外

待つべき更新と急ぐべき更新を分けると、慌ててmergeするリスクと、必要な対応を遅らせるリスクの両方を減らせます。

よくある誤解や失敗

cooldownがあるから安全確認は不要だと思ってしまう

cooldownは、新しいリリース直後のリスクを少し下げる仕組みです。テスト、差分確認、リリースノート確認の代わりにはなりません。

security updatesも遅れると思ってしまう

GitHubの公式説明では、既定cooldownはversion updatesに適用され、security updatesはすぐにPRが作成されます。脆弱性対応は通常更新と分けて確認します。

待機日数を長くすれば常に安全だと思ってしまう

長く待つほど、通常の改善やバグ修正の取り込みも遅れます。安定性、更新頻度、テスト体制のバランスを見て決めることが大切です。

dependabot.ymlに秘密情報を書いてしまう

プライベートレジストリを扱う場合でも、トークンやパスワードの値を直接書かないでください。GitHubの仕組みやシークレット管理の公式手順に従ってください。

自動mergeだけに任せてしまう

依存関係更新は便利に自動化できますが、業務に影響するパッケージでは、CIだけでなく画面確認や主要操作の確認が必要になることがあります。

Q&A

Q. 何も設定しなくてもcooldownは効きますか？

A. GitHub.comのDependabot version updatesでは、公式Changelogにより既定で3日間のcooldownが案内されています。より細かく調整したい場合は、dependabot.ymlでcooldownを設定します。

Q. すべてのパッケージマネージャーで同じ指定が使えますか？

A. default-daysは対応するパッケージマネージャーで広く使えますが、semver-major-daysなどのSemVer別設定は、対応状況を公式のoptions referenceで確認してください。

Q. セキュリティ更新も7日待つ設定にできますか？

A. この記事で扱う既定cooldownはversion updates向けです。脆弱性対応のsecurity updatesは目的が違うため、同じ感覚で遅らせる前提にしない方が安全です。

Q. 小さな個人サイトでも設定する価値はありますか？

A. あります。依存関係更新PRが多すぎて確認が雑になる場合は、更新頻度、open PR数、cooldownを調整すると、落ち着いて確認しやすくなります。

要点まとめ

• cooldownは、通常の依存関係更新PRを少し待ってから作る仕組みです。
• GitHub.comでは、Dependabot version updatesに既定で3日間のcooldownが入ります。
• security updatesは脆弱性対応のため、既定cooldownの対象外としてすぐにPRが作成されます。
• dependabot.ymlで、待機日数や対象依存関係を調整できます。
• 安全な運用には、cooldownだけでなく、テスト、差分確認、リリースノート確認が必要です。

授業に登場する3人については、MAO先生のIT授業 キャラクター紹介で確認できます。

公式資料・参考資料

• GitHub Changelog: Dependabot version updates introduce default package cooldown
• GitHub Docs: Dependabot version updates
• GitHub Docs: About the dependabot.yml file
• GitHub Docs: Dependabot options reference

内容に合うCTA

依存関係更新は、自動化すると便利ですが、いつ待つか、いつ急ぐか、誰が何を確認するかを決めておかないと、更新PRが積み上がりやすくなります。

小規模チームや業務システムで、Dependabot設定、GitHub運用、セキュリティ更新の確認手順を整理したい場合は、MAO工房へご相談ください。