Mises à jour des dépendances
Mises à jour des dépendances maintient vos dépendances à jour et corrige celles qui sont vulnérables. Les mises à jour de version arrivent selon votre calendrier. Les correctifs de sécurité arrivent dès qu’un résultat en nécessite un, à raison d’une pull request par paquet, et c’est vous qui décidez s’ils attendent votre relecture ou s’ils fusionnent d’eux-mêmes une fois leurs vérifications réussies.
Dans la console, tout tient sur une seule page : Sécurité › Corriger › Mises à jour des dépendances. Build et déploiement › Mises à jour des dépendances ouvre la même page.
Deux voies
| Voie | Pilotée par | Ce qu’elle ouvre |
|---|---|---|
| Correctifs de sécurité | Vos résultats ouverts sur les dépendances et les images de conteneurs | Une pull request par paquet vulnérable, ou par image de base, à la version la plus basse qui corrige toutes les alertes ouvertes. Classées d’abord par exploitation connue, puis par atteignabilité, puis par gravité |
| Mises à jour de version | Votre renovate.json et votre calendrier | Les mises à jour courantes de Renovate hébergé : regroupement, fusion automatique pour les versions correctives et mineures, approbation pour les majeures, registres privés |
La manière dont les pull requests de chaque voie sont fusionnées, y compris la fenêtre de fusion et le gel des versions, est décrite dans Fusion. Si une pull request n’apparaît pas, consultez Dépannage.
Un seul bot
Les deux voies ouvrent leurs pull requests sous l’identité du bot de dépendances de votre organisation, <org>-fremforge-bot-deps. fremforge le crée lorsque vous activez les mises à jour de version ou faites votre première demande de correctif de sécurité, conserve son jeton, en assure la rotation et le supprime lorsqu’aucune des deux voies n’en a plus besoin. Il n’écrit que dans les dépôts de votre organisation.
AI fix pour les résultats SAST est une fonctionnalité distincte, avec son propre bot, <org>-fremforge-bot-autofix, et ne fait pas partie des mises à jour des dépendances.
La page
La page comporte quatre parties :
- Correctifs de sécurité : ce que fait la voie en ce moment, et ses paramètres : quand les pull requests de correctif sont ouvertes, si elles attendent une relecture, combien peuvent être ouvertes en même temps, l’ancienneté minimale de version et les dépôts couverts.
- Mises à jour de version : la politique de Renovate hébergé, son calendrier, sa fenêtre de fusion, ses limites de PR, les mises à jour majeures qui attendent votre approbation, les pull requests de dépendances ouvertes et les registres privés.
- Dépôts : les dépôts qui participent, et l’exclusion par dépôt.
- Activité : les exécutions récentes de Renovate et les demandes récentes de correctifs de sécurité, avec leurs pull requests.
Correctifs de sécurité sans mises à jour de version
Les correctifs de sécurité ne nécessitent pas les mises à jour de version. La première demande de correctif, ou l’enregistrement d’un mode automatique, provisionne le bot de dépendances en laissant les mises à jour de version désactivées. Désactiver les mises à jour de version conserve le bot tant que les correctifs de sécurité sont automatiques, et le supprime dans le cas contraire.
Qui ouvre les pull requests de sécurité
Les pull requests d’alerte de vulnérabilité propres à Renovate hébergé continuent de servir une organisation jusqu’à ce que la voie des correctifs de sécurité prenne le relais chez elle. Après la bascule, Renovate n’ouvre plus que des mises à jour de version, et chaque correctif n’est proposé qu’une seule fois. Pour les clients, la bascule se fait pour l’instant sur demande. Voir Prendre le relais de Renovate.
API
Tout ce qui figure sur la page est disponible dans l’API, sous /_app/api/v1/orgs/{org}/dependency-updates, avec les portées dependency-updates:read et dependency-updates:write :
| Quoi | Point de terminaison |
|---|---|
| Les deux voies, l’inscription et les exclusions | GET /orgs/{org}/dependency-updates |
| Paramètres des correctifs de sécurité | GET et PUT /orgs/{org}/dependency-updates/security-fixes/settings |
| Qui ouvre les pull requests de sécurité | GET et PUT /orgs/{org}/dependency-updates/security-fixes/lane |
| Demandes de correctifs de sécurité | GET et POST /orgs/{org}/dependency-updates/security-fixes/requests |
| Paramètres des mises à jour de version | GET et PUT /orgs/{org}/dependency-updates/version-updates/settings |
| Exécutions, exécution immédiate, inscription, désactivation, exclusions, approbation d’une majeure | /orgs/{org}/dependency-updates/runs, /run-now, /enrol, /disable, /repo-optout, /repo-optin, /approve-major |
Les anciens noms restent valables jusqu’au 2027-10-15 : les portées renovate:read et renovate:write sont des alias des nouvelles, et les chemins obsolètes sont listés avec leurs remplaçants dans API obsolète.