Dependabot — пауза alerts в неактивных репозиториях с декабря 2026
Dependabot: неактивные репозитории и пауза alerts
Анонс: 10 ноября 2026 года. Проверено: 11 ноября, Asia/Yekaterinburg (UTC+5). GitHub объявил изменение с 8 декабря 2026 года. На дату проверки это будущая политика, не уже выполненное отключение конкретного репозитория.
Что меняется
GitHub будет выключать Dependabot alerts у большинства репозиториев без активности за год. Прежние alerts архивируются, а не удаляются. Активностью считаются push в любую ветку или тег, создание репозитория и включение alerts. Новый push или ручное включение возвращают alerts и запускают годовой отсчёт заново.
Исключения — обязательная security configuration, включающая alerts, либо enterprise policy, запрещающая администраторам репозитория переключать эту функцию. Изменение относится ко всем планам github.com, включая Enterprise Cloud с data residency, но не GHES.
Архивация находок не означает перевод самого репозитория в архив. Здесь речь об alerts, не о гарантированном отключении version-update PR или secret scanning. Работающий сайт со старым кодом не становится безопаснее из-за отсутствия новых уведомлений.
Проверка одного репозитория
По официальной инструкции, настройка находится в Settings → Advanced Security → Dependabot alerts. Доступ зависит от прав и политик организации. Просмотр состояния и нажатие Enable — разные действия; автоматически менять настройки не требуется.
Зафиксируйте состояние функции и наличие находок в Security. Недоступный раздел или ответ об отсутствии прав нельзя интерпретировать как отсутствие уязвимостей. После согласованного включения проверьте возврат прежних alerts и доступ ответственному; не публикуйте содержимое закрытых находок.
Для организации изучите обязательную security configuration. Проверяйте применимость к выбранным репозиториям, доступные функции и права. Не включайте платные возможности и не меняйте политику всего аккаунта ради одного проекта без отдельного решения.
Предлагаемый аудит до 8 декабря
Таблица ниже — шаблон, не результаты проверки аккаунта:
| Репозиторий | Используется в production | Последняя подтверждённая активность | Alerts / политика | Ответственный и действие |
|---|---|---|---|---|
| Заполнить | Да / нет / неизвестно | Дата и основание | Включены / выключены / неизвестно | Проверить / согласовать включение |
Начните с работающих, но редко изменяемых сайтов, библиотек и инфраструктурных шаблонов. Проверяйте не только default branch. Общее поле времени обновления репозитория, комментарий или issue сами по себе не доказывают указанную GitHub активность.
Не создавайте пустые коммиты по расписанию для имитации разработки. Лучше определить владельца, согласовать поддерживаемую политику и включить контроль alerts в обычную проверку безопасности. После 8 декабря повторно проверить фактическое состояние, не считая календарную дату доказательством выключения каждого проекта.
Границы проверки
Анонс и документация прочитаны. Настройки пользовательских репозиториев, enterprise policy, реальные alerts и их восстановление не тестировались и не изменялись. Годовой отсчёт конкретного проекта не вычислялся. Отсутствие alerts не заменяет аудит зависимостей, образов и уже развёрнутой версии приложения.