Skip to main content

Manter as suas ações atualizadas com o Dependabot

Você pode usar o Dependabot para manter as ações que você utiliza atualizadas para as versões mais recentes.

Sobre Dependabot version updates para ações

Ações são frequentemente atualizadas com correções de bugs e novos recursos para tornar os processos automatizados mais confiáveis, mais rápidos e mais seguros. Quando você habilitar as Dependabot version updates para o GitHub Actions, o Dependabot ajudará a garantir que as referências às ações no arquivo workflow.yml de um repositório sejam mantidas atualizadas. Para cada ação no arquivo, o Dependabot verifica a referência da ação (tipicamente, um número de versão ou um identificador de commit associado à ação) em relação à última versão. Se uma última versão da ação estiver disponível, o Dependabot enviará para você uma solicitação de pull que atualizará a referência no arquivo de fluxo de trabalho para a última versão. Para obter mais informações sobre as Dependabot version updates, confira "Sobre as Dependabot version updates". Para obter mais informações sobre como configurar fluxos de trabalho do GitHub Actions, confira "Saiba como usar o GitHub Actions".

Observação: as execuções de fluxo de trabalho disparadas pelas solicitações de pull do Dependabot são executadas como se fossem de um repositório com fork e, portanto, usam um GITHUB_TOKEN somente leitura. Estas execuções de fluxo de trabalho não podem acessar nenhum segredo. Confira "Como manter suas GitHub Actions e seus fluxos de trabalho seguros: prevenção contra solicitações pwn" para ver estratégias para manter esses fluxos de trabalho seguros.

Habilitando Dependabot version updates para ações

Você pode configurar Dependabot version updates para manter suas ações, bem como as bibliotecas e os pacotes de dependência.

  1. Se você já habilitou as Dependabot version updates para outros ecossistemas ou gerenciadores de pacotes, basta abrir o arquivo dependabot.yml existente. Caso contrário, crie um arquivo de configuração dependabot.yml no diretório .github do repositório. Para obter mais informações, confira "Como configurar as atualizações de versão do Dependabot".
  2. Especifique "github-actions" como um package-ecosystem para monitorá-lo.
  3. Defina o directory como "/" para verificar se há arquivos de fluxo de trabalho em .github/workflows.
  4. Defina um schedule.interval para especificar a frequência com que será feita a verificação em busca de novas versões.
  5. Verifique o arquivo de configuração dependabot.yml no diretório .github do repositório. Se você tiver editado um arquivo existente, salve suas alterações.

Você também pode habilitar o Dependabot version updates em bifurcações. Para obter mais informações, confira "Como configurar as atualizações de versão do Dependabot".

Exemplo de arquivo dependabot.yml do GitHub Actions

O exemplo de arquivo dependabot.yml abaixo configura as atualizações de versão do GitHub Actions. O directory precisa ser definido como "/" para verificar se há arquivos de fluxo de trabalho em .github/workflows. O schedule.interval é definido como "daily". Após este arquivo ter sido verificado ou atualizado, Dependabot verifica novas versões de suas ações. O Dependabot acionará as solicitação de pull para as atualizações da versão de todas as ações desatualizadas encontradas. Após as atualizações iniciais da versão, o Dependabot continuará verificando se há versões desatualizadas das ações uma vez por dia.

# Set update schedule for GitHub Actions

version: 2
updates:

  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      # Check for updates to GitHub Actions every weekday
      interval: "daily"

Configurando o Dependabot version updates para ações

Ao habilitar as Dependabot version updates para as ações, você precisa especificar valores para package-ecosystem, directory e schedule.interval. Há muitas propriedades opcionais adicionais que você pode definir para personalizar ainda mais suas atualizações de versão. Para obter mais informações, confira "Opções de configuração para o arquivo dependabot.yml".

Leitura adicional