Repository navigation
[ci] Délai de carence (cooldown) Dependabot explicite #90
Description
Partie de #1.
Constat
.github/dependabot.yml (#7, PR #89) ne définit pas d'option cooldown. D'après la référence GitHub « Dependabot options reference » (consultée le 29/10/2026), Dependabot applique alors un délai par défaut de 3 jours aux mises à jour de version. Un délai plus long laisse le temps de repérer et de retirer une version compromise avant qu'une PR ne la propose. Les mises à jour de sécurité ne sont pas concernées : cooldown ne s'applique qu'aux mises à jour de version.
À faire
- Choisir les durées et justifier le choix dans la PR. Valeurs « à vérifier », par exemple 7 jours par défaut et plus pour les versions majeures.
-
gomod:default-dayset, si utile,semver-major-days/semver-minor-days/semver-patch-days(pris en charge pour Go modules). -
github-actions:default-daysuniquement (les optionssemver-*-daysne s'appliquent pas à cet écosystème). -
docker: même règle quegithub-actionsune fois l'écosystème ajouté ([deploy] Image Docker multi-étapes, distroless et non root #68). - Revérifier la syntaxe dans la documentation GitHub au moment de la PR et valider le fichier contre le schéma SchemaStore
dependabot-2.0.json.
Liens
- Suite de [ci] Dependabot pour les modules Go, les actions et Docker #7.
docs/standards.md, section « Chaîne d'approvisionnement et CI ».
Activity
chore(ci): automate releases with release-please (#92)
chore(ci): set an explicit dependabot cooldown (#95)