From d02e7bd9c358cc221811eca6887e1a7d10b9c744 Mon Sep 17 00:00:00 2001 From: Oliver Braun Date: Sun, 26 Jul 2026 09:54:50 +0200 Subject: [PATCH] ci(deps): add 3-day cooldown to npm dependabot updates Dependabot picked brand-new package versions and regularly tripped pnpm's ~24h minimumReleaseAge gate, turning CI red until the packages aged out. A cooldown makes Dependabot only propose versions that are already a few days old, so the release-age gate never fires. Co-Authored-By: Claude Opus 4.8 (1M context) --- .github/dependabot.yml | 7 +++++++ 1 file changed, 7 insertions(+) diff --git a/.github/dependabot.yml b/.github/dependabot.yml index 0fc9a93..576f594 100644 --- a/.github/dependabot.yml +++ b/.github/dependabot.yml @@ -7,6 +7,13 @@ updates: schedule: interval: weekly open-pull-requests-limit: 10 + # pnpm 11 lehnt beim `install --frozen-lockfile` Pakete ab, die jünger als + # ~24h sind (minimumReleaseAge, Supply-Chain-Schutz). Dependabot griff bisher + # die brandneuen Versionen und lief regelmäßig in dieses Gate (CI rot, bis das + # Paket alt genug war). Der cooldown lässt Dependabot nur Versionen vorschlagen, + # die schon ein paar Tage alt sind — damit trifft die 24h-Sperre nie mehr zu. + cooldown: + default-days: 3 groups: # Svelte-Ökosystem zusammen (Kit/vite-plugin/svelte müssen kompatibel sein) svelte: