GitHub 10 ноября объявил, что с 8 декабря 2026 года начнёт отключать Dependabot alerts в большинстве репозиториев без активности за последний год. Имеющиеся предупреждения будут архивироваться с возможностью восстановления. В Mentoring.digital разбираем, что проверить владельцам таких проектов.
Что GitHub считает активностью
В объявлении перечислены три действия: отправка изменений в любую ветку или тег, создание репозитория и включение Dependabot alerts. Любая отправка изменений после отключения автоматически снова включает уведомления. Их также можно включить вручную в настройках репозитория.
В обоих случаях GitHub восстанавливает архивированные предупреждения и запускает новый годовой отсчёт. Архивирование предупреждения само по себе не устраняет уязвимость зависимости. Поэтому стоит учитывать и состояние проверки, и фактическое состояние пакетов.
Для каких репозиториев действуют исключения
Автоматическое отключение не затрагивает репозитории, для которых принудительно применяется конфигурация безопасности с включёнными Dependabot alerts. Также предусмотрено исключение для предприятий, где политика Dependabot alerts запрещает администраторам репозиториев самостоятельно включать и отключать эту функцию.
Изменение распространяется на планы github.com и GitHub Enterprise Cloud с локализацией данных. GitHub Enterprise Server оно не касается.
Что проверить до 8 декабря
Составьте список поддерживаемых репозиториев, в которые давно не отправляли изменения. Для каждого проверьте текущее состояние Dependabot alerts и применяемые политики. Особенно полезно включить в список редко меняющиеся библиотеки, которые всё ещё используются в работающих системах.
Зафиксируйте ответственного за зависимости и порядок проверки предупреждений. Разбор такого процесса с наставником по DevOps поможет связать настройки репозитория с реальными задачами сопровождения.
