Entre as ferramentas disponíveis para manter as dependências atualizadas, Dependabot é uma escolha padrão sólida em nossa opinião. A integração do Dependabot com o GitHub é suave e as solicitações de pull são enviadas automaticamente para atualizar suas dependências para as versões mais recentes. Ele pode ser habilitado no nível da organização, portanto, é muito simples para os times receber essas solicitações pull. Se você não estiver usando o GitHub, ainda poderá usar as bibliotecas Dependabot em seu pipeline de compilação. Se você tiver interesse em uma ferramenta alternativa, considere também o Renovate, que oferece suporte a uma gama mais ampla de serviços, incluindo GitLab, Bitbucket e Azure DevOps.
Manter dependências atualizadas é uma tarefa rotineira, mas por questões de segurança é importante responder a essas atualizações em tempo hábil. Você pode usar ferramentas para tornar esse processo o mais indolor e automatizado possível. Na prática, nossos times têm boas experiências com o Dependabot. Ele se integra com os repositórios do GitHub e verifica automaticamente dependências para novas versões. Quando requisitado, o Dependabot abrirá uma pull request com dependências atualizadas.
Keeping dependencies up to date is a chore, but it's important to manage upgrades frequently and incrementally. We want the process to be as painless and automated as possible. Our teams have often hand-rolled scripts to automate parts of the process; now, however, we integrate commercial offerings to do that work. Dependabot is a service that integrates with your GitHub repositories and automatically checks your project dependencies for new versions. When required, Dependabot will open a pull request with upgraded dependencies. Using features of your CI server, you can automatically test upgrades for compatibility and automatically merge compatible upgrades to master. There are alternatives to Dependabot, including Renovate for JavaScript projects and Depfu for JavaScript and Ruby projects. Our teams, however, recommend Dependabot because of its multilanguage support and ease of use.
