Dependabotに「3日間のクールダウン」が新規追加、依存関係の脆弱性対応に猶予期間

GitHubは依存関係自動更新ツールDependabotに、新たに3日間のデフォルトのクールダウン期間を導入しました。これにより、パッケージの新バージョンがリリースされてから3日間はDependabotによる更新プルリクエストの発行が遅延されます。メンテナーやセキュリティ研究者がリリース直後に見つかった問題に対応する時間を確保し、問題のあるバージョンが利用者のコードに取り込まれるリスクを減らすことが目的です。