Dépannage des mises à jour des dépendances

Aucune pull request de correctif de sécurité

Ce que vous voyez	Pourquoi
Aucune version publiée ne corrige toutes les alertes ouvertes	Il n’y a encore aucun correctif à proposer. Le résultat reste ouvert.
Écosystème non couvert	Le résultat se trouve dans un écosystème que les correctifs de sécurité ne couvrent pas encore ; voir Écosystèmes pris en charge.
Manifeste non couvert	Le résultat se trouve dans un build que les correctifs de sécurité ne peuvent pas modifier, comme Ivy ou sbt.
Issu d’un SBOM	Le résultat provient d’un SBOM téléversé, et non d’un fichier du dépôt.
Nouvelle version de Go requise	Le résultat se trouve dans la bibliothèque standard ou la chaîne d’outils de Go.
En attente de l’âge de publication	La version corrigée est plus récente que votre Âge de la version (3 jours, sauf si vous l’avez modifié sous Âge de la version), et Renovate la retient. La console et l’API (`release_age_days` dans l’objet `autofix` du résultat) indiquent le nombre de jours. Cette attente n’est levée que si le correctif concerne une vulnérabilité connue comme exploitée. Refaites la demande une fois la version assez ancienne. Les demandes antérieures au 2026-10-13 affichent « Pas encore de PR : trop récente ».
Aucune PR : rien à modifier	Renovate n’a rien trouvé à modifier. Un paquet transitif npm, pnpm, Yarn 1, uv, Poetry ou Gradle est épinglé automatiquement en une dizaine de minutes, et un paquet Maven avec Épingler comme dépendance transitive ; voir Dépendances transitives. Sinon, vérifiez que la version du dépôt et la version corrigée correspondent à ce qu’indique le résultat.
Pas de PR : manifeste illisible	Renovate n’a pas pu analyser le manifeste indiqué par la console (son JSON, YAML, TOML ou XML n’est pas valide), et n’en a donc lu aucune dépendance. Corrigez la syntaxe du fichier et refaites la demande de correctif. Dans l’API, le `reason` de la demande est `manifest_unparseable` et `unparseable_manifests` liste les fichiers.
PR fermée : hors périmètre	La modification de Renovate touchait davantage que le manifeste et le fichier de verrouillage, ou déplaçait des paquets du fichier de verrouillage vers un autre index ; fremforge l’a donc fermée.
PR fermée : verrouillage en échec	Le fichier de verrouillage n’a pas pu être rafraîchi (par Renovate, ou pour Gradle par la tâche de votre CI, dont l’exécution est liée), si bien que la pull request n’aurait pas pu être construite. fremforge l’a fermée. Corrigez la cause et réessayez.
PR fermée : version partagée	La version est une propriété ou une entrée de catalogue que d’autres dépendances lisent aussi. Montez-la vous-même ; voir versions partagées.

Aucun correctif de sécurité n’est jamais proposé pour les résultats de malware, les résultats de liste de refus, la bibliothèque standard de Go, ni les résultats signalés sur une pull request.

Chaque refus d’une demande via l’API comporte un reason et un type que vous pouvez consulter sous API errors : security-fix-<reason> sur POST /orgs/{org}/dependency-updates/security-fixes/requests, autofix-<reason> sur les chemins obsolètes.

Quelques autres causes :

Le dépôt est archivé ou est un miroir (repo_archived) : il n’accepte aucune pull request.
Les correctifs de sécurité sont désactivés (disabled) : le mode est Désactivé, ou une limite vaut 0.
Le dépôt est exclu des mises à jour des dépendances (repo_opted_out).
Une limite est atteinte (repo_limit, org_daily_limit) : voir Limites.

Mises à jour de version

Mes PR de mise à jour de version ne sont pas ouvertes

À vérifier en premier : les exécutions sous Activité sur la page Mises à jour des dépendances. Si les exécutions sont au statut ok mais avec prs_opened: 0, vos dépôts n’ont réellement rien à mettre à jour (ou votre renovate.json filtre tout).
Le bot a perdu l’accès en écriture : une réactivation corrige le problème. Désactivez puis réactivez ; le bot est recréé avec un nouveau jeton.
PR limitées en débit : le prHourlyLimit de Renovate est de 2 PR par heure par défaut. Augmentez-le dans votre configuration si nécessaire.

Une PR est erronée ou n’aurait pas dû être ouverte

Ajoutez le paquet à la liste d’exclusion de votre renovate.json :

{
  "packageRules": [
    {
      "matchPackageNames": ["the-thing-i-dont-want-bumped"],
      "enabled": false
    }
  ]
}

Renovate prend en compte la modification à l’exécution suivante.

Une exécution a échoué

Ouvrez le Détail de l’erreur de l’exécution sous Activité. La plupart des échecs sont passagers (incident réseau sur le registre npm ; la reprise se fait automatiquement au cycle suivant).
Si un dépôt précis échoue de façon répétée, vérifiez que l’utilisateur bot y a accès. Une réactivation lui redonne l’accès en écriture.

« Some dependencies could not be looked up »

Ce message signifie que Renovate n’a pas pu joindre un registre privé pour découvrir les versions. Vous n’avez rien à faire pour :

Les paquets publics : ils sont recherchés automatiquement sur les registres publics, via le proxy de sortie de fremforge.
Le registre de paquets fremforge de votre propre organisation : votre bot Renovate y est déjà authentifié.

Vous n’avez à intervenir que lorsqu’un dépôt dépend d’un registre privé externe que nous ne pouvons pas joindre en votre nom : GitHub Packages, des paquets privés sur npmjs.com, un Artifactory ou Nexus privé, ou un registre Docker privé.

Ajoutez-lui un identifiant de lecture sous Registres privés.

Fusion