Dependabot ritarda gli aggiornamenti: tre giorni di attesa ora predefiniti
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
La nuova cooldown di 3 giorni viene applicata di default a Dependabot e non richiede configurazione.
Dependabot introduce una pausa minima di tre giorni prima di aprire una pull request di aggiornamento, calcolata da quando una nuova release entra nel suo registry. Il post “Quoting GitHub Changeling” di Simon Willison, pubblicato il 14 luglio 2026, riporta la novità così: “This cooldown is now the default and requires no configuration”1.
La regola interviene sul momento di creazione della pull request. Una release deve restare nel registry per almeno tre giorni; solo dopo parte la proposta di bump. La pausa è il comportamento predefinito. Non serve alcuna impostazione nel progetto. La formulazione indica un minimo e non fissa un massimo. Non compaiono opzioni per disattivare, accorciare o modificare l’intervallo. La nota non elenca eccezioni, linguaggi o package manager specifici. Si limita al perimetro temporale e alla natura di default della modifica1.
Il testo citato non aggiunge dettagli operativi oltre alla frase riportata. Nessuna guida, nessun esempio, nessuno scenario d’uso. Solo l’enunciato della pausa di tre giorni come impostazione standard. Il riferimento temporale parte dalla disponibilità della release nel registry di Dependabot. Il resto non viene descritto1.
Per chi mantiene dipendenze con Dependabot, l’effetto è immediato: le pull request di aggiornamento non compariranno più subito dopo la pubblicazione di una release a monte. Arriveranno solo dopo tre giorni di permanenza nel registry. Le fonti non segnalano leve per alterare la finestra. Chi vuole aggiornare prima non trova oggi indicazioni per farlo nella nota riportata1.
La segnalazione nasce da una raccolta di novità (“GitHub Changeling”) citata integralmente nel blog di Willison. Il post ne riprende il passaggio rilevante e lo accredita. Non fornisce link a documentazione aggiuntiva, né dettaglia implementazioni. Quel che c’è è nel testo tra virgolette. Nient’altro1.
Cosa fare adesso. I team che dipendono da PR automatiche dovrebbero rivedere le finestre di rilascio e gli SLA interni: la cadenza degli update slitta di almeno tre giorni. Conviene anche monitorare il comportamento nelle proprie repository per confermare i tempi reali. Il prossimo punto di verifica è la stessa nota citata: eventuali aggiornamenti o precisazioni dovrebbero comparire lì o in una comunicazione ufficiale collegata. Al momento non ce ne sono nella fonte disponibile1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.