Updates van afhankelijkheden
Updates van afhankelijkheden houdt je afhankelijkheden actueel en herstelt de kwetsbare. Versie-updates komen volgens jouw schema binnen. Beveiligingsfixes komen binnen zodra een bevinding er een nodig heeft, één pull request per pakket, en jij bepaalt of ze op je review wachten of zichzelf samenvoegen zodra hun checks slagen.
In de console is het één pagina: Beveiliging › Herstellen › Updates van afhankelijkheden. Bouwen en uitrollen › Updates van afhankelijkheden opent dezelfde pagina.
Twee sporen
| Spoor | Gestuurd door | Wat het opent |
|---|---|---|
| Beveiligingsfixes | Je openstaande bevindingen in afhankelijkheden en containerimages | Eén pull request per kwetsbaar pakket, of per base image, naar de laagste versie die elke openstaande advisory oplost. Volgorde: eerst bekend misbruikt, dan bereikbaar, dan op ernst |
| Versie-updates | Je renovate.json en schema | De routine-updates van gehoste Renovate: groeperen, automatisch samenvoegen voor patch- en minor-versies, goedkeuring voor majors, private registries |
Hoe de pull requests van elk spoor worden samengevoegd, inclusief het samenvoegvenster en de releasefreeze, staat op Samenvoegen. Verschijnt een pull request niet, zie dan Probleemoplossing.
Eén bot
Beide sporen openen hun pull requests als de dependency-bot van je organisatie, <org>-fremforge-bot-deps. fremforge maakt hem aan zodra je Versie-updates inschakelt of je eerste beveiligingsfix aanvraagt, beheert en roteert zijn token, en verwijdert hem zodra geen van beide sporen hem nog nodig heeft. Hij schrijft alleen naar de repository’s van je organisatie.
AI-fix voor SAST-bevindingen is een aparte functie met een eigen bot, <org>-fremforge-bot-autofix, en hoort niet bij Updates van afhankelijkheden.
De pagina
De pagina bestaat uit vier delen:
- Beveiligingsfixes: wat het spoor nu doet, en de instellingen ervan: wanneer fix-pull-requests worden geopend, of ze op een review wachten, hoeveel er tegelijk open mogen staan, de minimale leeftijd van een release en welke repository’s eronder vallen.
- Versie-updates: het beleid van gehoste Renovate, het schema, het samenvoegvenster, de limieten voor PR’s, de major-updates die op je goedkeuring wachten, de openstaande pull requests voor afhankelijkheden en private registries.
- Repository’s: welke repository’s meedoen, en de opt-out per repository.
- Activiteit: recente Renovate-runs en recente aanvragen voor beveiligingsfixes met hun pull requests.
Beveiligingsfixes zonder Versie-updates
Beveiligingsfixes heeft Versie-updates niet nodig. De eerste fix-aanvraag, of het opslaan van een automatische modus, richt de dependency-bot in terwijl Versie-updates uit blijft. Zet je Versie-updates uit, dan blijft de bot bestaan zolang Beveiligingsfixes automatisch is, en wordt hij anders verwijderd.
Wie beveiligings-pull-requests opent
De eigen pull requests van gehoste Renovate voor kwetsbaarheidsmeldingen blijven een organisatie bedienen totdat het spoor Beveiligingsfixes het daar overneemt. Na de overstap opent Renovate alleen nog versie-updates en wordt elke fix maar één keer voorgesteld. Voor klanten gebeurt de overstap voorlopig op aanvraag. Zie Overnemen van Renovate.
API
Alles op de pagina zit ook in de API, onder /_app/api/v1/orgs/{org}/dependency-updates, met de scopes dependency-updates:read en dependency-updates:write:
| Wat | Endpoint |
|---|---|
| Beide sporen, inschrijving en opt-outs | GET /orgs/{org}/dependency-updates |
| Instellingen van Beveiligingsfixes | GET en PUT /orgs/{org}/dependency-updates/security-fixes/settings |
| Wie beveiligings-pull-requests opent | GET en PUT /orgs/{org}/dependency-updates/security-fixes/lane |
| Aanvragen voor beveiligingsfixes | GET en POST /orgs/{org}/dependency-updates/security-fixes/requests |
| Instellingen van Versie-updates | GET en PUT /orgs/{org}/dependency-updates/version-updates/settings |
| Runs, nu uitvoeren, inschrijven, uitschakelen, opt-outs, een major goedkeuren | /orgs/{org}/dependency-updates/runs, /run-now, /enrol, /disable, /repo-optout, /repo-optin, /approve-major |
De oudere namen blijven werken tot 2027-10-15: de scopes renovate:read en renovate:write zijn aliassen van de nieuwe, en de verouderde paden staan met hun opvolgers onder Verouderde API.