Merging

Hver pull request for avhengigheter venter enten på at en person skal gjennomgå og merge den, eller er klargjort til å merge seg selv når de påkrevde sjekkene har passert. Hva som skjer, avhenger av sporet, typen oppdatering og innstillingene dine.

Sikkerhetsrettelser: When fixes merge

Sikkerhet › Utbedre › Avhengighetsoppdateringer › Sikkerhetsrettelser → Når rettelser merges (merge i innstillingene) har to verdier:

• Vent på gjennomgang (review), standardverdien. En person gjennomgår og merger.
• Merge når sjekkene går gjennom (when_green). Pull requesten klargjøres til å merges når de påkrevde sjekkene har passert.

Med Merge når sjekkene går gjennom klargjør fremforge en pull request med en sikkerhetsrettelse til å merges når de påkrevde sjekkene har passert:

• Aldri for en rettelse som krysser en hovedversjon. Den venter alltid på gjennomgang.
• Aldri under en utgivelsesfrys.
• Utenfor merge-vinduet bare for en rettelse av en kjent utnyttet sårbarhet.
• Aldri for en pakke med stort skadeomfang i en organisasjon som selv har slått på Merge når sjekkene går gjennom.

Pakker med stort skadeomfang

Rundt 30 pakker for autentisering, kryptografi, databaser, ORM og KMS i skyen merger aldri en sikkerhetsrettelse av seg selv i en organisasjon som selv har slått på Merge når sjekkene går gjennom; disse rettelsene venter på gjennomgang. Organisasjoner der Renovates pull requests for sikkerhet merget seg selv før 2026-10-14, ble flyttet til Merge når sjekkene går gjennom med den oppførselen beholdt: rettelser for disse pakkene merges også. Innstillingene viser dette som high_blast_radius_exempt: true.

Wait for review

Med Vent på gjennomgang klargjøres ingenting. En automerge som fremforge eller boten har klargjort, avbrytes; en som en person har klargjort på pull requesten, får stå.

Hosted Renovates egne pull requests for sikkerhet

Den samme innstillingen avgjør hosted Renovates egne pull requests for sikkerhet så lenge de fortsatt betjener organisasjonen (lane_owner: renovate): med Merge når sjekkene går gjennom merger de seg selv på grønn CI, slik den tidligere automerge-bryteren Security updates gjorde. Alle organisasjoner som hadde den bryteren slått på – standard for alle innmeldte organisasjoner – ble flyttet til Merge når sjekkene går gjennom 2026-10-14, så Renovates pull requests for sikkerhet fortsatte å merges og ingenting endret seg for dem. Nye organisasjoner starter på Vent på gjennomgang.

Organisasjoner som ble flyttet over 2026-10-14

For en organisasjon som ble flyttet til Merge når sjekkene går gjennom 2026-10-14 (high_blast_radius_exempt: true), venter pull requests med sikkerhetsrettelser som åpnes fra et funn, med et klikk eller automatisk, på gjennomgang til organisasjonens sikkerhetsrettelser tar over fra hosted Renovates egne pull requests for sikkerhet. Inntil da gjelder innstillingen bare for disse Renovate-pull-requestene, akkurat som før. Overtakelsen er en egen, revidert bryter (se Ta over fra Renovate); fra da av følger pull requests med rettelser Når rettelser merges, etter reglene over, etter hvert som de erstatter Renovates.

En organisasjon som selv slår på Merge når sjekkene går gjennom, får det for pull requests med rettelser med en gang, mens pakkene med stort skadeomfang overlates til gjennomgang. Når sporet for sikkerhetsrettelser har tatt over, åpner Renovate bare versjonsoppdateringer.

Påkrevde godkjenninger

En pull request som er klargjort av en eier av organisasjonen, eller åpnet av en av fremforges systemboter som <org>-fremforge-bot-deps, merges på grønne sjekker selv på et repository som krever en godkjennende gjennomgang. Så Merge når sjekkene går gjennom merger virkelig uten en person på slike repositoryer, slik Renovates pull requests for sikkerhet har gjort til nå. Velg Vent på gjennomgang hvis hver avhengighetsendring må ses av en person.

Versjonsoppdateringer

Rutinemessige oppdateringer følger hosted Renovates nivåer:

• Patch-, pin- og digest-oppdateringer merges automatisk på grønn CI som standard (automerge_patch).
• Minor-oppdateringer merges automatisk hvis du slår det på (automerge_minor).
• Major-oppdateringer venter på godkjenningen din i Dependency Dashboard (major_approval).
• Rundt 30 pakker med stort skadeomfang merger aldri en rutinemessig oppdatering automatisk.

Reglene i renovate.json brukes etter denne policyen. Se Versjonsoppdateringer.

Merge-vindu

En eier kan begrense når pull requests for avhengigheter klargjøres til å merges, som hele UTC-timer på valgte ukedager (merge_window i innstillingene for versjonsoppdateringer). Utenfor vinduet klargjøres ingenting, og klargjøringer som boten har gjort, avbrytes når vinduet lukkes; en klargjøring en person har gjort, får stå.

En sikkerhetsrettelse for en CVE som er utnyttet i praksis, klargjøres utenfor vinduet, så den merges så snart sjekkene har passert. Det er bare vinduet som hoppes over.

Utgivelsesfrys

Et repository med en åpen issue merket release-freeze er frosset. Ingenting klargjøres til å merges i det, heller ikke en rettelse av en kjent utnyttet sårbarhet, og et oppslag som feiler, regnes som frosset. Pull requests åpnes fortsatt, så rettelsen er klar når frysen avsluttes.