Fehlerbehebung bei Abhängigkeits-Updates

Kein Pull Request für eine Sicherheitskorrektur

Was du siehst	Warum
Keine veröffentlichte Version behebt alle offenen Advisories	Es gibt noch keine Korrektur, die vorgeschlagen werden könnte. Der Befund bleibt offen.
Ökosystem nicht abgedeckt	Der Befund liegt in einem Ökosystem, das Sicherheitskorrekturen noch nicht abdecken; siehe Unterstützte Ökosysteme.
Manifest nicht abgedeckt	Der Befund liegt in einem Build, den Sicherheitskorrekturen nicht ändern können, etwa Ivy oder sbt.
Aus einer SBOM	Der Befund stammt aus einer hochgeladenen SBOM, nicht aus einer Datei im Repository.
Braucht neue Go-Version	Der Befund liegt in der Standardbibliothek oder der Toolchain von Go.
Wartet auf das Release-Alter	Die korrigierte Version ist neuer als dein Release-Alter (3 Tage, sofern du es unter Release-Alter nicht geändert hast), und Renovate hält sie zurück. Die Konsole und die API (`release_age_days` im Objekt `autofix` des Befunds) nennen die Anzahl der Tage. Das Zurückhalten entfällt nur, wenn die Korrektur eine bekanntermaßen ausgenutzte Schwachstelle behebt. Fordere erneut an, sobald die Version alt genug ist. Anforderungen von vor dem 2026-10-13 zeigen „Noch kein PR: zu neu“.
Kein PR: nichts zu ändern	Renovate hat nichts zu ändern gefunden. Ein transitives Paket aus npm, pnpm, Yarn 1, uv, Poetry oder Gradle wird innerhalb von etwa zehn Minuten automatisch festgelegt, ein Maven-Paket mit Als transitiv festlegen; siehe Transitive Abhängigkeiten. Andernfalls prüfe, ob die Version im Repository und die korrigierte Version dem entsprechen, was der Befund angibt.
Kein PR: Manifest nicht lesbar	Renovate konnte das Manifest, das die Konsole nennt, nicht parsen (sein JSON, YAML, TOML oder XML ist ungültig) und hat daher keine Abhängigkeiten daraus gelesen. Korrigiere die Syntax der Datei und fordere die Korrektur erneut an. In der API ist `reason` der Anforderung `manifest_unparseable`, und `unparseable_manifests` führt die Dateien auf.
PR geschlossen: außerhalb des Umfangs	Die Änderung von Renovate betraf mehr als das Manifest und die Lockfile oder hat Pakete in der Lockfile auf einen anderen Index verschoben, daher hat fremforge sie geschlossen.
PR geschlossen: Lockfile fehlgeschlagen	Die Lockfile konnte nicht aktualisiert werden (von Renovate oder, bei Gradle, vom Job in deiner CI, dessen Lauf verlinkt ist), sodass der Pull Request nicht gebaut hätte. fremforge hat ihn geschlossen. Behebe die Ursache und versuche es erneut.
PR geschlossen: geteilte Version	Die Version ist eine Property oder ein Katalogeintrag, den auch andere Abhängigkeiten lesen. Hebe sie selbst an; siehe geteilte Versionen.

Sicherheitskorrekturen werden nie vorgeschlagen für Malware-Befunde, Befunde aus der Deny-Liste, die Standardbibliothek von Go oder Befunde, die an einem Pull Request erhoben wurden.

Jede Ablehnung einer Anforderung über die API trägt einen reason und einen type, die du unter API-Fehler nachschlagen kannst: security-fix-<reason> bei POST /orgs/{org}/dependency-updates/security-fixes/requests, autofix-<reason> bei den veralteten Pfaden.

Ein paar weitere Ursachen:

Das Repository ist archiviert oder ein Mirror (repo_archived): Es nimmt keine Pull Requests an.
Sicherheitskorrekturen sind ausgeschaltet (disabled): Der Modus ist Aus, oder ein Limit ist 0.
Das Repository hat sich von den Abhängigkeits-Updates abgemeldet (repo_opted_out).
Ein Limit ist erreicht (repo_limit, org_daily_limit): siehe Limits.

Versions-Updates

Meine Pull Requests für Versions-Updates werden nicht geöffnet

Zuerst prüfen: die Läufe unter Aktivität auf der Seite Abhängigkeits-Updates. Haben die Läufe den Status ok, aber prs_opened: 0, gibt es in deinen Repositorys tatsächlich nichts anzuheben (oder deine renovate.json filtert alles heraus).
Der Bot hat den Schreibzugriff verloren: Erneutes Einschalten behebt das. Schalte aus und wieder ein; der Bot wird mit einem frischen Token neu angelegt.
Begrenzte Anzahl an Pull Requests: prHourlyLimit von Renovate steht standardmäßig auf 2 Pull Requests pro Stunde. Erhöhe den Wert bei Bedarf in deiner Konfiguration.

Ein Pull Request ist falsch oder hätte nicht geöffnet werden sollen

Füge das Paket der Ignorierliste in deiner renovate.json hinzu:

{
  "packageRules": [
    {
      "matchPackageNames": ["the-thing-i-dont-want-bumped"],
      "enabled": false
    }
  ]
}

Renovate übernimmt die Änderung beim nächsten Lauf.

Ein Lauf ist fehlgeschlagen

Öffne unter Aktivität die Fehlerdetails des Laufs. Die meisten Fehler sind vorübergehend (eine kurze Netzwerkstörung bei der npm-Registry; sie erholen sich im nächsten Durchlauf von selbst).
Schlägt ein bestimmtes Repository wiederholt fehl, prüfe, ob der Bot-Benutzer Zugriff hat. Erneutes Einschalten gewährt den Schreibzugriff neu.

„Some dependencies could not be looked up“

Das bedeutet, dass Renovate eine private Registry nicht erreichen konnte, um Versionen zu ermitteln. Du musst nichts tun bei:

Öffentlichen Paketen: Sie werden automatisch in den öffentlichen Registrys nachgeschlagen, über den Egress-Proxy von fremforge.
Der fremforge-Paket-Registry deiner eigenen Organisation: Dein Renovate-Bot ist dort bereits authentifiziert.

Handeln musst du nur, wenn ein Repository von einer externen privaten Registry abhängt, die wir nicht in deinem Namen erreichen können: GitHub Packages, private Pakete auf npmjs.com, ein privates Artifactory oder Nexus oder eine private Docker-Registry.

Füge dafür unter Private Registries Zugangsdaten mit Lesezugriff hinzu.

Mergen