GitHub изменил поведение Dependabot: теперь бот не предлагает обычное обновление зависимости сразу после публикации новой версии. Сначала пакет должен провести в реестре как минимум три дня. Только после этой паузы Dependabot сможет открыть запрос на слияние с обновлением. Настраивать ничего не нужно — трёхдневная задержка включена по умолчанию. На первый взгляд это небольшая поправка в расписании. На деле GitHub меняет сам подход к безопасности цепочки поставок программного обеспечения: самая свежая версия больше не считается автоматически самой желательной...