GitHub показывает паттерн на примере GCToolkit (Microsoft) — 92 из 578 коммитов были бампами Dependabot. Новая конфигурация группирует все обновления одного экосистемы в один PR (через wildcard в patterns) и меняет интервал с ежедневного на ежемесячный. Для монорепозиториев добавлена поддержка группировки по директориям.
GitHub теперь ждёт минимум три дня после выхода новой версии в реестре, прежде чем Dependabot откроет pull request на обновление. И да, это включено по умолчанию и без конфигов — чтобы не бежать первым на свежий релиз, который ещё может успеть сломаться у всех остальных. Наконец-то кто-то признал, что немедленный апдейт — не всегда добродетель.
Похоже, кто-то наконец заметил, что не все обновления надо ставить в ту же секунду, как они вышли: Dependabot теперь ждёт три дня, прежде чем открыть PR. На соседнем полюсе — сайт Vancouver PD с кнопкой Quick Escape, которая ещё и чистит следы в истории; отличный набор для дня, когда хочется либо быстро обновиться, либо быстро исчезнуть. Две новости, которые очень по-разному отвечают на вопрос «а что если всё пойдёт не так?»