Merge
Varje pull request för beroenden väntar antingen på att en person granskar och mergar den, eller armeras för att mergas av sig själv när dess obligatoriska kontroller går igenom. Vilket det blir beror på spåret, typen av uppdatering och dina inställningar.
Säkerhetsfixar: När fixar mergas
Säkerhet › Åtgärda › Uppdateringar av beroenden › Säkerhetsfixar → När fixar mergas (merge i inställningarna) har två värden:
- Vänta på granskning (
review), standard. En person granskar och mergar. - Sammanfoga när kontrollerna går igenom (
when_green). Pull requesten armeras för att mergas när dess obligatoriska kontroller går igenom.
Med Sammanfoga när kontrollerna går igenom armerar fremforge en pull request för säkerhetsfix så att den mergas när dess obligatoriska kontroller går igenom:
- Aldrig för en fix som går över en major-version. En sådan väntar alltid på granskning.
- Aldrig under en release-frysning.
- Utanför ditt merge-fönster bara för en fix av en sårbarhet känd som utnyttjad.
- Aldrig för ett paket med stor påverkan i en organisation som själv slog på Sammanfoga när kontrollerna går igenom.
Paket med stor påverkan
Ett trettiotal paket för autentisering, kryptografi, databaser, ORM och moln-KMS mergar aldrig en säkerhetsfix av sig själva i en organisation som själv slog på Sammanfoga när kontrollerna går igenom; de fixarna väntar på granskning. Organisationer vars Renovate-säkerhets-pull requests mergades av sig själva före 2026-10-14 flyttades till Sammanfoga när kontrollerna går igenom med det beteendet kvar: fixar för de paketen mergas också. Inställningarna visar detta som high_blast_radius_exempt: true.
Vänta på granskning
Med Vänta på granskning armeras ingenting. En automatisk merge som fremforge eller boten har armerat avbryts; en som en person har armerat på pull requesten lämnas orörd.
Hostad Renovates egna säkerhets-pull requests
Samma inställning avgör hostad Renovates egna säkerhets-pull requests så länge de fortfarande betjänar organisationen (lane_owner: renovate): med Sammanfoga när kontrollerna går igenom mergas de av sig själva vid grön CI, som den tidigare växeln för automatisk merge av Security updates gjorde. Varje organisation som hade den växeln påslagen, vilket var standard för alla anslutna organisationer, flyttades till Sammanfoga när kontrollerna går igenom 2026-10-14, så att dess Renovate-säkerhets-pull requests fortsatte att mergas och ingenting ändrades för den. Nya organisationer börjar med Vänta på granskning.
Organisationer som flyttades över 2026-10-14
För en organisation som flyttades till Sammanfoga när kontrollerna går igenom 2026-10-14 (high_blast_radius_exempt: true) gäller att pull requests för säkerhetsfixar som öppnas från ett fynd, med ett klick eller automatiskt, väntar på granskning tills dess säkerhetsfixar tar över från hostad Renovates egna säkerhets-pull requests. Fram till dess gäller inställningen bara de Renovate-pull requests, precis som tidigare. Övertagandet är en separat växel som granskas (se Ta över från Renovate); från och med då följer pull requests för fixar När fixar mergas, enligt reglerna ovan, när de ersätter Renovates.
En organisation som själv slår på Sammanfoga när kontrollerna går igenom får det för pull requests för fixar direkt, med paketen med stor påverkan kvar för granskning. När spåret Säkerhetsfixar tar över öppnar Renovate bara versionsuppdateringar.
Obligatoriska godkännanden
En pull request som armeras av en ägare i organisationen, eller som öppnas av en systembot i fremforge som <org>-fremforge-bot-deps, mergas vid gröna kontroller även i ett repo som kräver en godkännande granskning. Sammanfoga när kontrollerna går igenom mergar alltså verkligen utan en person i sådana repon, som Renovates säkerhets-pull requests hittills har gjort. Välj Vänta på granskning om varje ändring av beroenden måste ses av en person.
Versionsuppdateringar
Rutinmässiga uppdateringar följer hostad Renovates nivåer:
- Patch-, pin- och digest-uppdateringar mergas automatiskt vid grön CI som standard (
automerge_patch). - Minor-uppdateringar mergas automatiskt om du slår på det (
automerge_minor). - Major-uppdateringar väntar på ditt godkännande i Dependency Dashboard (
major_approval). - Ett trettiotal paket med stor påverkan mergas aldrig automatiskt vid en rutinmässig uppdatering.
Regler i din renovate.json tillämpas efter den här policyn. Se Versionsuppdateringar.
Merge-fönster
En ägare kan begränsa när pull requests för beroenden armeras för merge, till hela UTC-timmar på valda veckodagar (merge_window i inställningarna för versionsuppdateringar). Utanför fönstret armeras ingenting, och armeringar som boten har gjort avbryts när fönstret stängs; en armering som en person har gjort lämnas orörd.
En säkerhetsfix för en CVE som utnyttjas i praktiken armeras utanför fönstret, så den mergas så snart dess kontroller går igenom. Bara fönstret hoppas över.
Release-frysning
Ett repo med en öppen issue märkt release-freeze är fryst. Ingenting armeras för merge i det, inte ens en fix av en sårbarhet känd som utnyttjad, och en kontroll som misslyckas räknas som fryst. Pull requests öppnas fortfarande, så fixen är klar när frysningen upphör.