Samenvoegen
Elke pull request voor een afhankelijkheid wacht ofwel tot iemand hem reviewt en samenvoegt, of wordt klaargezet om zichzelf samen te voegen zodra zijn verplichte checks slagen. Welke van de twee hangt af van het spoor, het soort update en je instellingen.
Beveiligingsfixes: Wanneer fixes worden gemerged
Beveiliging › Herstellen › Updates van afhankelijkheden › Beveiligingsfixes → Wanneer fixes worden gemerged (merge in de instellingen) heeft twee waarden:
- Wachten op review (
review), de standaard. Iemand reviewt de pull request en voegt hem samen. - Samenvoegen als de checks slagen (
when_green). De pull request wordt klaargezet om samen te voegen zodra zijn verplichte checks slagen.
Met Samenvoegen als de checks slagen zet fremforge een pull request met een beveiligingsfix klaar om samen te voegen zodra zijn verplichte checks slagen:
- Nooit voor een fix die over een majorversie heen gaat. Die wacht altijd op een review.
- Nooit tijdens een releasefreeze.
- Buiten je samenvoegvenster alleen voor een fix voor een bekend misbruikte kwetsbaarheid.
- Nooit voor een pakket met een grote impact in een organisatie die Samenvoegen als de checks slagen zelf heeft aangezet.
Pakketten met een grote impact
Ongeveer 30 pakketten voor authenticatie, cryptografie, databases, ORM en cloud-KMS voegen een beveiligingsfix nooit zelf samen in een organisatie die Samenvoegen als de checks slagen zelf heeft aangezet; die fixes wachten op een review. Organisaties waarvan de beveiligings-pull-requests van Renovate zichzelf vóór 2026-10-14 samenvoegden, zijn overgezet naar Samenvoegen als de checks slagen met behoud van dat gedrag: fixes voor die pakketten worden ook samengevoegd. De instellingen tonen dit als high_blast_radius_exempt: true.
Wachten op review
Met Wachten op review wordt niets klaargezet. Een automatische samenvoeging die door fremforge of door de bot is klaargezet, wordt geannuleerd; een samenvoeging die een persoon op de pull request heeft klaargezet, blijft staan.
De eigen beveiligings-pull-requests van gehoste Renovate
Dezelfde instelling bepaalt wat er gebeurt met de eigen beveiligings-pull-requests van gehoste Renovate zolang die de organisatie nog bedienen (lane_owner: renovate): met Samenvoegen als de checks slagen voegen ze zichzelf samen bij groene CI, zoals de vroegere schakelaar Security updates voor automatisch samenvoegen deed. Elke organisatie die die schakelaar aan had staan, wat de standaard was voor elke ingeschreven organisatie, is op 2026-10-14 overgezet naar Samenvoegen als de checks slagen, zodat haar beveiligings-pull-requests van Renovate zichzelf bleven samenvoegen en er voor haar niets veranderde. Nieuwe organisaties beginnen met Wachten op review.
Organisaties die op 2026-10-14 zijn overgezet
Voor een organisatie die op 2026-10-14 is overgezet naar Samenvoegen als de checks slagen (high_blast_radius_exempt: true) geldt: pull requests met een beveiligingsfix die vanuit een bevinding zijn geopend, met een klik of automatisch, wachten op een review totdat haar Beveiligingsfixes het overnemen van de eigen beveiligings-pull-requests van gehoste Renovate. Tot dan geldt de instelling alleen voor die pull requests van Renovate, precies zoals voorheen. Het overnemen is een aparte schakelaar die in het auditlog wordt vastgelegd (zie Overnemen van Renovate); vanaf dat moment volgen fix-pull-requests Wanneer fixes worden gemerged, volgens de regels hierboven, terwijl ze die van Renovate vervangen.
Een organisatie die Samenvoegen als de checks slagen zelf aanzet, krijgt het direct voor fix-pull-requests, waarbij de pakketten met een grote impact op een review blijven wachten. Zodra het spoor Beveiligingsfixes het overneemt, opent Renovate alleen nog versie-updates.
Verplichte goedkeuringen
Een pull request die door een eigenaar van de organisatie is klaargezet, of die is geopend door een systeembot van fremforge zoals <org>-fremforge-bot-deps, wordt bij groene checks samengevoegd, ook in een repository die een goedkeurende review vereist. Samenvoegen als de checks slagen voegt in zulke repository’s dus echt samen zonder dat er een persoon aan te pas komt, zoals de beveiligings-pull-requests van Renovate tot nu toe hebben gedaan. Kies Wachten op review als elke wijziging aan een afhankelijkheid door een persoon gezien moet worden.
Versie-updates
Routinematige updates volgen de niveaus van gehoste Renovate:
- Patch-, pin- en digest-updates worden standaard automatisch samengevoegd bij groene CI (
automerge_patch). - Minor-updates worden automatisch samengevoegd als je dat aanzet (
automerge_minor). - Major-updates wachten op je goedkeuring in het Dependency Dashboard (
major_approval). - Ongeveer 30 pakketten met een grote impact voegen een routinematige update nooit automatisch samen.
Regels in je renovate.json worden na dit beleid toegepast. Zie Versie-updates.
Samenvoegvenster
Een eigenaar kan beperken wanneer pull requests voor afhankelijkheden worden klaargezet om samen te voegen, als hele UTC-uren op gekozen weekdagen (merge_window in de instellingen van Versie-updates). Buiten het venster wordt niets klaargezet, en klaarzettingen van de bot worden geannuleerd zodra het venster sluit; een klaarzetting door een persoon blijft staan.
Een beveiligingsfix voor een CVE die in het wild wordt misbruikt, wordt ook buiten het venster klaargezet, zodat hij wordt samengevoegd zodra zijn checks slagen. Alleen het venster wordt overgeslagen.
Releasefreeze
Een repository met een openstaand issue met het label release-freeze is bevroren. Er wordt niets in klaargezet om samen te voegen, zelfs geen fix voor een bekend misbruikte kwetsbaarheid, en een opvraging die mislukt telt als bevroren. Pull requests worden nog wel geopend, zodat de fix klaarstaat als de freeze voorbij is.