Mergen

Jeder Abhängigkeits-Pull-Request wartet entweder darauf, dass eine Person ihn prüft und mergt, oder er wird scharfgeschaltet, um sich selbst zu mergen, sobald seine erforderlichen Checks bestehen. Was davon gilt, hängt vom Weg, von der Art des Updates und von deinen Einstellungen ab.

Sicherheitskorrekturen: Wann Korrekturen gemergt werden

Sicherheit › Beheben › Abhängigkeits-Updates › Sicherheitskorrekturen → Wann Korrekturen gemergt werden (merge in den Einstellungen) hat zwei Werte:

• Auf Review warten (review), der Standard. Eine Person prüft und mergt.
• Zusammenführen, wenn die Prüfungen bestehen (when_green). Der Pull Request wird scharfgeschaltet und mergt, sobald seine erforderlichen Checks bestehen.

Mit Zusammenführen, wenn die Prüfungen bestehen schaltet fremforge einen Pull Request für eine Sicherheitskorrektur scharf, sodass er mergt, sobald seine erforderlichen Checks bestehen:

• Nie für eine Korrektur, die eine Major-Version überspringt. Sie wartet immer auf ein Review.
• Nie während eines Release-Freeze.
• Außerhalb deines Merge-Fensters nur für eine bekanntermaßen ausgenutzte Korrektur.
• Nie für ein Paket mit großem Schadensradius in einer Organisation, die Zusammenführen, wenn die Prüfungen bestehen selbst eingeschaltet hat.

Pakete mit großem Schadensradius

Rund 30 Pakete für Authentifizierung, Kryptografie, Datenbanken, ORM und Cloud-KMS mergen in einer Organisation, die Zusammenführen, wenn die Prüfungen bestehen selbst eingeschaltet hat, nie von selbst eine Sicherheitskorrektur; diese Korrekturen warten auf ein Review. Organisationen, deren Renovate-Sicherheits-Pull-Requests sich vor dem 2026-10-14 selbst gemergt haben, wurden mit diesem Verhalten auf Zusammenführen, wenn die Prüfungen bestehen umgestellt: Korrekturen für diese Pakete mergen dort ebenfalls. Die Einstellungen zeigen das als high_blast_radius_exempt: true.

Auf Review warten

Mit Auf Review warten wird nichts scharfgeschaltet. Ein Auto-Merge, den fremforge oder der Bot scharfgeschaltet hat, wird aufgehoben; einen, den eine Person am Pull Request scharfgeschaltet hat, lässt fremforge unberührt.

Die eigenen Sicherheits-Pull-Requests von gehostetem Renovate

Dieselbe Einstellung entscheidet über die eigenen Sicherheits-Pull-Requests von gehostetem Renovate, solange sie die Organisation noch bedienen (lane_owner: renovate): Mit Zusammenführen, wenn die Prüfungen bestehen mergen sie sich bei grüner CI selbst, wie es der frühere Auto-Merge-Schalter Sicherheits-Updates getan hat. Jede Organisation, die diesen Schalter eingeschaltet hatte, und das war der Standard für jede angemeldete Organisation, wurde am 2026-10-14 auf Zusammenführen, wenn die Prüfungen bestehen umgestellt. Ihre Renovate-Sicherheits-Pull-Requests mergten also weiter, und für sie änderte sich nichts. Neue Organisationen beginnen mit Auf Review warten.

Am 2026-10-14 umgestellte Organisationen

Für eine Organisation, die am 2026-10-14 auf Zusammenführen, wenn die Prüfungen bestehen umgestellt wurde (high_blast_radius_exempt: true), warten Pull Requests für Sicherheitskorrekturen, die aus einem Befund geöffnet wurden, per Klick oder automatisch, auf ein Review, bis ihre Sicherheitskorrekturen die eigenen Sicherheits-Pull-Requests von gehostetem Renovate ablösen. Bis dahin gilt die Einstellung nur für diese Renovate-Pull-Requests, genau wie zuvor. Die Ablösung ist ein eigener, protokollierter Schalter (siehe Renovate ablösen); ab dann folgen Korrektur-Pull-Requests der Einstellung Wann Korrekturen gemergt werden, nach den Regeln oben, während sie die von Renovate ersetzen.

Eine Organisation, die Zusammenführen, wenn die Prüfungen bestehen selbst einschaltet, erhält es sofort für Korrektur-Pull-Requests, wobei die Pakete mit großem Schadensradius dem Review überlassen bleiben. Sobald der Weg der Sicherheitskorrekturen übernimmt, öffnet Renovate nur noch Versions-Updates.

Erforderliche Freigaben

Ein Pull Request, den ein Owner der Organisation scharfgeschaltet hat oder den ein System-Bot von fremforge wie <org>-fremforge-bot-deps geöffnet hat, mergt bei grünen Checks auch in einem Repository, das ein freigebendes Review verlangt. Zusammenführen, wenn die Prüfungen bestehen mergt in solchen Repositorys also wirklich ohne eine Person, so wie es die Sicherheits-Pull-Requests von Renovate bisher getan haben. Wähle Auf Review warten, wenn jede Abhängigkeitsänderung von einer Person gesehen werden muss.

Versions-Updates

Routine-Updates folgen den Stufen von gehostetem Renovate:

• Patch-, Pin- und Digest-Updates mergen standardmäßig automatisch bei grüner CI (automerge_patch).
• Minor-Updates mergen automatisch, wenn du das einschaltest (automerge_minor).
• Major-Updates warten im Dependency Dashboard auf deine Freigabe (major_approval).
• Rund 30 Pakete mit großem Schadensradius mergen ein Routine-Update nie automatisch.

Regeln in deiner renovate.json werden nach dieser Richtlinie angewendet. Siehe Versions-Updates.

Merge-Fenster

Ein Owner kann einschränken, wann Abhängigkeits-Pull-Requests zum Mergen scharfgeschaltet werden, in ganzen UTC-Stunden an ausgewählten Wochentagen (merge_window in den Einstellungen der Versions-Updates). Außerhalb des Fensters wird nichts scharfgeschaltet, und Scharfschaltungen des Bots werden aufgehoben, wenn sich das Fenster schließt; eine Scharfschaltung durch eine Person bleibt unberührt.

Eine Sicherheitskorrektur für eine CVE, die aktiv ausgenutzt wird, wird auch außerhalb des Fensters scharfgeschaltet, sodass sie mergt, sobald ihre Checks bestehen. Nur das Fenster wird übersprungen.

Release-Freeze

Ein Repository mit einem offenen Issue mit dem Label release-freeze ist eingefroren. Darin wird nichts zum Mergen scharfgeschaltet, nicht einmal eine bekanntermaßen ausgenutzte Korrektur, und eine fehlgeschlagene Abfrage zählt als eingefroren. Pull Requests werden trotzdem geöffnet, sodass die Korrektur bereitliegt, wenn der Freeze endet.