Configuração e Gerenciamento do Dependabot

Visão Geral

O Dependabot é a ferramenta integrada do GitHub para gerenciamento de dependências, com três funcionalidades principais:

1. Alertas do Dependabot — Notifica quando dependências têm vulnerabilidades conhecidas (CVEs)
2. Atualizações de Segurança do Dependabot — Cria automaticamente PRs para corrigir dependências vulneráveis
3. Atualizações de Versão do Dependabot — Cria automaticamente PRs para manter as dependências atualizadas

Toda a configuração fica em um único arquivo: .github/dependabot.yml no branch padrão. O GitHub não suporta múltiplos arquivos dependabot.yml por repositório.

Fluxo de Trabalho de Configuração

Siga este processo ao criar ou otimizar um dependabot.yml:

Etapa 1: Detectar Todos os Ecossistemas

Escaneie o repositório em busca de manifestos de dependência. Procure por:

Observações:

• pnpm e yarn usam o mesmo valor de ecossistema npm.
• Prefira o valor de ecossistema uv quando uv.lock estiver presente; caso contrário, use pip.

Etapa 2: Mapear Localizações de Diretório

Para cada ecossistema, identifique onde os manifestos residem. Use directories (plural) com padrões glob para monorepos:

directories:
  - "/"           # root
  - "/apps/*"     # all app subdirs
  - "/packages/*" # all package subdirs
  - "/lib-*"      # dirs starting with lib-
  - "**/*"        # recursive (all subdirs)

Importante: directory (singular) não suporta globs. Use directories (plural) para curingas.

Etapa 3: Configurar Cada Entrada de Ecossistema

Cada entrada precisa, no mínimo, de:

- package-ecosystem: "npm"
  directory: "/"
  schedule:
    interval: "weekly"

Etapa 4: Otimizar com Agrupamento, Rótulos e Agendamento

Veja as seções abaixo para cada técnica de otimização.

Estratégias de Monorepo

Padrões Glob para Cobertura de Workspace

Para monorepos com muitos pacotes, use padrões glob para evitar listar cada diretório:

- package-ecosystem: "npm"
  directories:
    - "/"
    - "/apps/*"
    - "/packages/*"
    - "/services/*"
  schedule:
    interval: "weekly"

Agrupamento Entre Diretórios

Use group-by: dependency-name para criar um único PR quando a mesma dependência for atualizada em vários diretórios:

groups:
  monorepo-deps:
    group-by: dependency-name

Isso cria um PR por dependência em todos os diretórios especificados, reduzindo custos de CI e carga de revisão.

Limitações:

• Todos os diretórios devem usar o mesmo ecossistema de pacotes
• Aplica-se apenas a atualizações de versão
• Restrições de versão incompatíveis criam PRs separados

Pacotes Autônomos Fora de Workspaces

Se um diretório tiver seu próprio lockfile e não fizer parte do workspace (por exemplo, scripts em .github/), crie uma entrada de ecossistema separada para ele.

Agrupamento de Dependências

Reduza o ruído de PRs agrupando dependências relacionadas em PRs únicos.

Por Tipo de Dependência

groups:
  dev-dependencies:
    dependency-type: "development"
    update-types: ["minor", "patch"]
  production-dependencies:
    dependency-type: "production"
    update-types: ["minor", "patch"]

Por Padrão de Nome

groups:
  angular:
    patterns: ["@angular*"]
    update-types: ["minor", "patch"]
  testing:
    patterns: ["jest*", "@testing-library*", "ts-jest"]

Para Atualizações de Segurança

groups:
  security-patches:
    applies-to: security-updates
    patterns: ["*"]

…