Problemen met updates van afhankelijkheden oplossen

Geen pull request voor een beveiligingsfix

Wat je ziet	Waarom
Geen uitgebrachte versie lost elk openstaand advies op	Er is nog geen fix om voor te stellen. De bevinding blijft open.
Ecosysteem niet gedekt	De bevinding zit in een ecosysteem dat Beveiligingsfixes nog niet dekt; zie Ondersteunde ecosystemen.
Manifest niet gedekt	De bevinding zit in een build die Beveiligingsfixes niet kan wijzigen, zoals Ivy of sbt.
Uit een SBOM	De bevinding komt uit een geüploade SBOM, niet uit een bestand in de repository.
Vereist een hogere Go-versie	De bevinding zit in de standaardbibliotheek of toolchain van Go.
Wacht op de releaseleeftijd	De gefixte versie is nieuwer dan je Releaseleeftijd (3 dagen, tenzij je die hebt gewijzigd onder Release-leeftijd), en Renovate houdt haar vast. De console en de API (`release_age_days` in het `autofix`-object van de bevinding) geven het aantal dagen. De wachttijd wordt alleen overgeslagen als de fix een bekend misbruikte kwetsbaarheid betreft. Vraag het opnieuw aan zodra de versie oud genoeg is. Aanvragen van vóór 2026-10-13 tonen “Nog geen PR: te nieuw”.
Geen PR: niets te wijzigen	Renovate vond niets om te wijzigen. Een transitief pakket van npm, pnpm, Yarn 1, uv, Poetry of Gradle wordt binnen ongeveer tien minuten automatisch vastgezet, en een Maven-pakket met Vastzetten als transitief; zie Transitieve afhankelijkheden. Controleer anders of de versie in de repository en de gefixte versie overeenkomen met wat de bevinding zegt.
Geen PR: manifest onleesbaar	Renovate kon het manifest dat de console noemt niet parsen (de JSON, YAML, TOML of XML ervan is ongeldig), en las er dus geen afhankelijkheden uit. Herstel de syntaxis van het bestand en vraag de fix opnieuw aan. In de API is de `reason` van de aanvraag `manifest_unparseable` en somt `unparseable_manifests` de bestanden op.
PR gesloten: buiten bereik	De wijziging van Renovate raakte meer dan het manifest en de lockfile, of verplaatste pakketten in de lockfile naar een andere index, dus fremforge heeft de pull request gesloten.
PR gesloten: lockfile mislukt	De lockfile kon niet worden vernieuwd (door Renovate, of voor Gradle door de job in je CI, waarvan de run is gelinkt), dus de pull request zou niet hebben gebouwd. fremforge heeft hem gesloten. Verhelp de oorzaak en probeer het opnieuw.
PR gesloten: gedeelde versie	De versie is een property of catalogusvermelding die ook door andere afhankelijkheden wordt gelezen. Verhoog haar zelf; zie gedeelde versies.

Beveiligingsfixes worden nooit voorgesteld voor malwarebevindingen, bevindingen uit een blokkeerlijst, de standaardbibliotheek van Go, of bevindingen op een pull request.

Elke weigering van een aanvraag via de API bevat een reason en een type die je kunt opzoeken onder API-fouten: security-fix-<reason> op POST /orgs/{org}/dependency-updates/security-fixes/requests, autofix-<reason> op de verouderde paden.

Nog een paar oorzaken:

De repository is gearchiveerd of een spiegel (repo_archived): die neemt geen pull requests aan.
Beveiligingsfixes staan uit (disabled): de modus is Uit, of een limiet is 0.
De repository heeft zich afgemeld voor updates van afhankelijkheden (repo_opted_out).
Een limiet is bereikt (repo_limit, org_daily_limit): zie Limieten.

Versie-updates

Mijn PR’s voor versie-updates worden niet geopend

Eerst controleren: de runs onder Activiteit op de pagina Updates van afhankelijkheden. Hebben de runs de status ok maar prs_opened: 0, dan hebben je repository’s echt niets om te verhogen (of filtert je renovate.json alles weg).
De bot heeft geen schrijftoegang meer: opnieuw inschakelen lost dit op. Schakel uit en weer in; de bot wordt opnieuw aangemaakt met een nieuw token.
PR’s door een limiet tegengehouden: Renovates prHourlyLimit staat standaard op 2 PR’s per uur. Verhoog die zo nodig in je configuratie.

Een PR klopt niet of had niet geopend moeten worden

Voeg het pakket toe aan de negeerlijst in je renovate.json:

{
  "packageRules": [
    {
      "matchPackageNames": ["the-thing-i-dont-want-bumped"],
      "enabled": false
    }
  ]
}

Renovate neemt de wijziging mee bij de volgende run.

Een run is mislukt

Open de Foutdetails van de run onder Activiteit. De meeste fouten zijn tijdelijk (een netwerkhapering bij het npm-register; ze herstellen zich vanzelf in de volgende cyclus).
Mislukt een bepaalde repository steeds opnieuw, controleer dan of de botgebruiker toegang heeft. Opnieuw inschakelen kent de schrijftoegang opnieuw toe.

“Some dependencies could not be looked up”

Dit betekent dat Renovate een privéregister niet kon bereiken om versies op te zoeken. Je hoeft niets te doen voor:

Openbare pakketten: die worden automatisch opgezocht in de openbare registers, via de egress-proxy van fremforge.
Het fremforge-pakketregister van je eigen organisatie: daarvoor is je Renovate-bot al geauthenticeerd.

Je hoeft alleen iets te doen als een repository afhankelijk is van een extern privéregister dat wij niet namens jou kunnen bereiken: GitHub Packages, privépakketten op npmjs.com, een privé-Artifactory/Nexus of een privé-Docker-register.

Voeg er een leesreferentie voor toe onder Privéregisters.

Samenvoegen