Why I recommend Renovate over any other dependency update tools · Jamie Tanna | Software Engineer

Explaining why Renovate is going to be my solution to keeping up-to-date with dependencies and it's not likely to change any time soon.

jvt.me

[SECURITY]: Announcing 1 Critical, 2 High and 1 Moderate advisories · renovatebot renovate · Discussion #46549

We're announcing 4 GitHub Security Advisories (GHSAs) that affect the Renovate CLI. There are 1 Critical, 2 High and 1 Moderate advisories. It is recommended that you upgrade to a minimum of Renova...

github.com

Looking back at my first year as the Renovate Project Lead · Jamie Tanna | Software Engineer

Reviewing some of the key highlights of my last year working as the Renovate Project Lead, and showing some stats about the project, its community and myself.

jvt.me

Renovate: It was a packageRule all along

As a Renovate maintainer, the question I answer most often is not “why is Renovate broken?” but “why did Renovate do that with my config?”. The honest answer is usually “because you configured it that...

secustor.dev

[SECURITY]: Announcing 9 High and 1 Moderate security vulnerabilities in Renovate · renovatebot renovate · Discussion #45495

We're announcing 10 GitHub Security Advisories (GHSAs) that affect the Renovate CLI. There are 9 High and 1 Moderate findings. It is recommended that you upgrade to a minimum of Renovate 44.14.7. T...

github.com

Renovate Bot Nedir, Neden Kullanmalısınız?

Bağımlılık güncellemeleri, çoğu geliştiricinin ihmal ettiği ama teknik borcun en hızlı biriktiği alanlardan biri. package.json, requirements.txt, Dockerfile, GitHub Actions workflow'ları... hepsi zamanla eskir ve bir gün kritik bir güvenlik açığıyla karşınıza çıkar. Renovate tam olarak bu sorunu çözmek için var. ## Renovate Nedir? Renovate, repolarınızdaki bağımlılıkları otomatik olarak tarayan, güncel sürümleri tespit eden ve her güncelleme için ayrı bir pull request açan açık kaynak bir bottur. Mend (eski adıyla WhiteSource) tarafından geliştirilir ve GitHub, GitLab, Bitbucket, Azure DevOps gibi platformlarda çalışır. Dependabot'a benzese de Renovate çok daha esnek bir yapılandırma sistemine sahiptir. npm, pip, Docker, Terraform, GitHub Actions, Cargo, Go modules dahil onlarca ekosistemi tek bir araçla yönetebilirsiniz. ## Neden Dependabot Değil de Renovate? * **Tek yapılandırma dosyası** — `renovate.json` ile tüm repo genelinde tutarlı kurallar tanımlanır. * **Gruplama desteği** — İlgili paketleri (örneğin tüm `eslint-*` paketlerini) tek bir PR'da toplayabilirsiniz, PR kalabalığı azalır. * **Zamanlama kontrolü** — Güncellemelerin sadece belirli saatlerde/günlerde açılmasını sağlayabilirsiniz (mesai dışı gece build'lerini tetiklememek gibi). * **Otomatik merge** — Minor/patch seviyesindeki düşük riskli güncellemeler için testler geçerse otomatik merge tanımlanabilir. * **Daha geniş ekosistem desteği** — Docker base image'ları, Helm chart'ları, Terraform provider'ları gibi Dependabot'ın zayıf kaldığı alanlarda daha güçlü. ## Kurulum GitHub üzerinde en pratik yol Renovate GitHub App'i kurmak: 1. github.com/apps/renovate adresinden uygulamayı yükleyin. 2. Erişim vermek istediğiniz repoları seçin. 3. Bot ilk taramadan sonra otomatik olarak bir "Configure Renovate" PR'ı açar; bu PR varsayılan `renovate.json` dosyasını içerir. Kendi altyapınızda (self-hosted GitLab, Gitea vb.) çalıştırmak isterseniz `renovate` npm paketini CLI olarak veya resmi Docker image'ı üzerinden CI pipeline'ında da çalıştırabilirsiniz. ## Örnek Yapılandırma json { "$schema": "https://docs.renovatebot.com/renovate-schema.json", "extends": ["config:recommended"], "timezone": "Europe/Istanbul", "schedule": ["after 22:00 every weekday", "every weekend"], "packageRules": [ { "matchUpdateTypes": ["minor", "patch"], "automerge": true }, { "matchPackagePatterns": ["^eslint"], "groupName": "eslint packages" } ], "vulnerabilityAlerts": { "enabled": true, "labels": ["security"] } } Bu örnekte: * Güncellemeler yalnızca mesai dışı saatlerde açılıyor. * Minor ve patch seviyesindeki güncellemeler testler geçerse otomatik birleşiyor. * ESLint ile ilgili paketler tek PR'da gruplanıyor. * Güvenlik açığı bulunan paketler için ayrı, etiketlenmiş uyarılar oluşturuluyor. ## Self-Hosted Ortamlarda Kullanım Proxmox/Docker tabanlı bir altyapıda çalışan projeler için Renovate'i bir cron job veya GitHub Actions scheduled workflow olarak tetiklemek yaygın bir pattern. Örneğin: yaml name: Renovate on: schedule: - cron: '0 3 * * *' workflow_dispatch: jobs: renovate: runs-on: ubuntu-latest steps: - uses: renovatebot/github-action@v40 with: configurationFile: renovate.json token: ${{ secrets.RENOVATE_TOKEN }} Bu, harici bir servise bağımlı olmadan kendi CI altyapınız üzerinden tam kontrol sağlar. ## Pratik İpuçları * **`config:recommended` ile başlayın** — Sıfırdan kural yazmak yerine önerilen preset üzerine küçük özelleştirmeler eklemek daha sürdürülebilir. * **Dashboard PR'ını kapatmayın** — Renovate, tüm bekleyen güncellemeleri listeleyen bir "Dependency Dashboard" issue'su açar; bu genel görünüm için değerlidir. * **Lock file maintenance'ı aktif edin** — `lockFileMaintenance` seçeneği, doğrudan versiyon değişikliği olmasa bile lock dosyasını düzenli tazeler. * **Major güncellemeleri ayrı tutun** — Major sürüm atlamaları genelde breaking change içerir; bunları otomerge dışında bırakıp manuel gözden geçirin. ## Sonuç Renovate, "bağımlılıkları güncel tutma" işini insan hafızasından çıkarıp sürece dönüştürüyor. İlk kurulumu birkaç dakika sürse de, uzun vadede güvenlik açıklarını erken yakalamak ve teknik borcu biriktirmemek açısından kazandırdığı zaman katbekat fazla. Küçük bir yapılandırma dosyasıyla başlayıp ihtiyaca göre kuralları genişletmek en sağlıklı yaklaşım.

erkandogan.tr

Staged publishing for npm packages | npm Docs

Documentation for the npm registry, website, and command-line interface

docs.npmjs.com

GitHub Actions is the weakest link

Anne Robinson would like a word with .github/workflows

nesbitt.io

From the RedditEng community on Reddit

Explore this post and more from the RedditEng community

reddit.com

Renovate CLI

Check end-of-life, release policy and support schedule for Renovate CLI.

endoflife.date

My workflow for testing Renovate config changes (2026 edition) · Jamie Tanna | Software Engineer

A runthrough of my process for testing more complex Renovate config changes where I want confidence up-front.

jvt.me

Package Managers Need to Cool Down

A survey of dependency cooldown support across package managers and update tools.

nesbitt.io

Feedback wanted: monorepos, getting started + "week 1" problems, complexity, and what's on your wishlist? · renovatebot renovate · Discussion #41414

We (the Renovate maintainers) are seeking community feedback on some specific areas, and we'd love y'all to comment on the Discussions: #41410 #41411 #41412 #41413

github.com

Breaking free from GitHub Discussions' limitations · Jamie Tanna | Software Engineer

How we built our own interface on top of GitHub Discussions to improve triage for Renovate's Open Source community.

jvt.me

Child processes spawned by Renovate incorrectly have full access to environment variables

When Renovate spawns child processes, their access to environment variables is filtered to an allowlist, to prevent unauthorized access to privileged credentials that the Renovate process has acces...

github.com

Release 43.0.0 · renovatebot/renovate

43.0.0 (2026-01-29) Breaking changes for 43 Allowlisting required for "unsafe commands" #40684 NoteThis should only affect you if you work with repositories that have a Gradle Wrapper. Prior to Re...

github.com

The first 100 days as a Renovate maintainer: the shocking inside view of a popular Open Source project · Jamie Tanna | Software Engineer

Lessons learned from the first 100 days as my role as a Renovate maintainer, and a sneak peek into how the project works behind the scenes.

jvt.me

[SECURITY]: possible remote code execution (with existing access to a repository) · renovatebot renovate · Discussion #40403

Today we are announcing 6 related security advisories: Arbitrary command injection via Gradle Wrapper and malicious distributionUrl (2025-12-28) Arbitrary command injection via kustomize manager an...

github.com

Why do we use GitHub Discussions as our triage process? · renovatebot renovate · Discussion #40306

Over the weekend, there has been some good discussion on Hacker News about how the Ghostty project uses GitHub Discussions for triage purposes, and then promotes the feature request/bug reports int...

github.com

Changes to default `GOSUMDB` environment variable on the Mend Developer Platform (and what it means for private Go modules) · renovatebot renovate · Discussion #40041

NoteThis only affects Renovate Cloud on developer.mend.io (Mend Developer Platform), and does not modify anything for users of the Renovate CLI deployed as part of any self-hosted usage. This also ...

github.com