Abhängigkeits-Updates
Abhängigkeits-Updates hält deine Abhängigkeiten aktuell und behebt die verwundbaren. Versions-Updates kommen nach deinem Zeitplan. Sicherheitskorrekturen kommen, sobald ein Befund eine braucht, ein Pull Request pro Paket, und du entscheidest, ob sie auf dein Review warten oder sich selbst mergen, sobald ihre Checks bestanden sind.
In der Konsole ist das eine einzige Seite: Sicherheit › Beheben › Abhängigkeits-Updates. Build und Deployment › Abhängigkeits-Updates öffnet dieselbe Seite.
Zwei Wege
| Weg | Gesteuert durch | Was er öffnet |
|---|---|---|
| Sicherheitskorrekturen | Deine offenen Befunde zu Abhängigkeiten und Container-Images | Einen Pull Request pro verwundbarem Paket oder pro Basis-Image, auf die niedrigste Version, die jede offene Advisory behebt. Reihenfolge: zuerst bekanntermaßen ausgenutzte, dann erreichbare, dann nach Schweregrad |
| Versions-Updates | Deine renovate.json und dein Zeitplan | Die routinemäßigen Updates von gehostetem Renovate: Gruppierung, Automerge für Patch- und Minor-Versionen, Freigabe für Major-Versionen, private Registrys |
Wie die Pull Requests der beiden Wege gemergt werden, einschließlich Merge-Fenster und Release-Freeze, steht unter Mergen. Wenn ein Pull Request nicht erscheint, siehe Fehlerbehebung.
Ein Bot
Beide Wege öffnen ihre Pull Requests als Abhängigkeits-Bot deiner Organisation, <org>-fremforge-bot-deps. fremforge legt ihn an, wenn du Versions-Updates aktivierst oder deine erste Sicherheitskorrektur anforderst, verwaltet und rotiert sein Token und entfernt ihn, wenn keiner der beiden Wege ihn mehr braucht. Er schreibt nur in die Repositorys deiner Organisation.
KI-Fix für SAST-Befunde ist eine eigene Funktion mit eigenem Bot, <org>-fremforge-bot-autofix, und gehört nicht zu den Abhängigkeits-Updates.
Die Seite
Die Seite hat vier Teile:
- Sicherheitskorrekturen: was der Weg gerade tut, und seine Einstellungen: wann Korrektur-Pull-Requests geöffnet werden, ob sie auf ein Review warten, wie viele gleichzeitig offen sein dürfen, das Mindestalter eines Releases und welche Repositorys abgedeckt sind.
- Versions-Updates: die Richtlinie von gehostetem Renovate, Zeitplan, Merge-Fenster, PR-Limits, die Major-Updates, die auf deine Freigabe warten, die offenen Abhängigkeits-Pull-Requests und private Registrys.
- Repositorys: welche Repositorys teilnehmen, und das Opt-out pro Repository.
- Aktivität: die letzten Renovate-Läufe und die letzten Anforderungen von Sicherheitskorrekturen mit ihren Pull Requests.
Sicherheitskorrekturen ohne Versions-Updates
Sicherheitskorrekturen brauchen keine Versions-Updates. Die erste Korrekturanforderung oder das Speichern eines automatischen Modus richtet den Abhängigkeits-Bot ein, wobei die Versions-Updates ausgeschaltet bleiben. Schaltest du die Versions-Updates aus, bleibt der Bot erhalten, solange die Sicherheitskorrekturen automatisch laufen; andernfalls wird er entfernt.
Wer Sicherheits-Pull-Requests öffnet
Die eigenen Vulnerability-Alert-Pull-Requests von gehostetem Renovate bedienen eine Organisation weiterhin, bis der Weg Sicherheitskorrekturen dort übernimmt. Nach der Umstellung öffnet Renovate nur noch Versions-Updates, und jede Korrektur wird genau einmal vorgeschlagen. Für Kundinnen und Kunden erfolgt die Umstellung vorerst auf Anfrage. Siehe Übernahme von Renovate.
API
Alles auf der Seite gibt es auch in der API, unter /_app/api/v1/orgs/{org}/dependency-updates, mit den Scopes dependency-updates:read und dependency-updates:write:
| Was | Endpunkt |
|---|---|
| Beide Wege, Aufnahme und Opt-outs | GET /orgs/{org}/dependency-updates |
| Einstellungen der Sicherheitskorrekturen | GET und PUT /orgs/{org}/dependency-updates/security-fixes/settings |
| Wer Sicherheits-Pull-Requests öffnet | GET und PUT /orgs/{org}/dependency-updates/security-fixes/lane |
| Anforderungen von Sicherheitskorrekturen | GET und POST /orgs/{org}/dependency-updates/security-fixes/requests |
| Einstellungen der Versions-Updates | GET und PUT /orgs/{org}/dependency-updates/version-updates/settings |
| Läufe, jetzt ausführen, aufnehmen, deaktivieren, Opt-outs, Major-Version freigeben | /orgs/{org}/dependency-updates/runs, /run-now, /enrol, /disable, /repo-optout, /repo-optin, /approve-major |
Die älteren Namen funktionieren bis zum 2027-10-15 weiter: Die Scopes renovate:read und renovate:write sind Aliasse der neuen, und die veralteten Pfade stehen mit ihren Nachfolgern unter Veraltete API.