GitHub Dependabotとは？依存関係の脆弱性通知と更新PRの見方
Dependabotは依存関係に関する通知や更新PRの入口になります。更新されたから終わりではなく、何が変わったかをPRで確認します。
このページでわかること
- Dependabot alertsとsecurity updatesの役割がわかる
- manifestやlock fileの変更を見る意味がわかる
- 更新PRをCIとreviewで確認する流れがわかる
まず確認すること
- 対象package、ecosystem、manifestを確認する
- 重要度、影響範囲、更新内容を見る
- CI結果とテスト範囲を確認する
- major/minor/patchの違いと互換性を確認する
やってはいけないこと
- 自動更新を無条件にmergeしない
- 更新されたという理由だけで本番反映しない
- 脆弱性の再現や攻撃目的の手順を書かない
安全寄りに進める手順
- 対象のrepo、branch、PR、Actions runを確認する。
- Secrets、APIキー、token、.env、個人情報が差分やログに出ていないか見る。
- 必要な場合は値を停止または再発行し、影響範囲を整理する。
- 変更は小さなbranchとPRに分け、CIとreviewで確認する。
CodexやAI作業時の注意
AIに作業を渡す時は、対象ファイル、触らないファイル、確認項目を明記します。認証情報や実際のキー値は本文、Issue、PR説明、ログ、レポートに残さないようにします。
一次情報で確認する領域
Actions、Secrets、PR、repository visibility、workflow permissionsは仕様が変わることがあります。実作業前にはGitHub Docsで最新の説明を確認してください。
ブランチ名を自分で決められるようになった（2026年8月）
2026年8月4日の更新で、Dependabotが作るPull Requestのブランチ名を設定で変えられるようになりました。設定は .github/dependabot.yml の pull-request-branch-name で行います。
既定では dependabot/npm_and_yarn/Lodash-4.17.21 のような形になります。公式の例では、これを dependabot-npm-and-yarn-lodash-4.17.21 のような形に変えられるとされています。
設定できるのは次の要素です。
- 先頭に付ける文字（プレフィックス）
- 最大の長さ
- 区切り文字（区分の区切りと、単語の区切り）
- 大文字か小文字か
- プレースホルダを使った独自の形
使いどころは主に2つです。1つは、ブランチ名の形や長さに制限があるCI/CDと組み合わせる場合。もう1つは、複数のパッケージを1つのリポジトリで管理していて、どのブランチが何の更新か見分けたい場合です。
逆に、制限に困っていないなら既定のままで構いません。変えると既存の運用（ブランチ名で絞り込んでいる設定など）に影響することがあります。変える前に、ブランチ名を前提にしている仕組みが無いか確認してください。
プレースホルダの一覧や制限の詳細は、公式のDependabotオプションの資料で確認してください。