Netcrook
#Dependabot
GitHub e PyPI tracciano una nuova linea attorno al rischio delle dipendenze
Un ritardo di tre giorni per Dependabot e un limite di 14 giorni per gli upload su PyPI mostrano come le piattaforme software stiano trasformando il tempismo in una difesa della supply chain.
GitHub rallenta il flusso di dipendenze con un gioco di attesa nascosto
Un nuovo cooldown di tre giorni in Dependabot trasforma gli aggiornamenti automatici da reazione immediata a verifica dell'età della release, con l'obiettivo di frenare gli abusi rapidi della supply chain.
GitHub impone una pausa sulle nuove dipendenze prima che l'automazione faccia la prima mossa
Un nuovo tempo di attesa predefinito per gli aggiornamenti di versione di Dependabot è pensato per rallentare l'adozione automatica dei pacchetti appena rilasciati e ridurre la finestra di abuso della supply chain.
Il nuovo ritardo di Dependabot su GitHub trasforma i pacchetti appena pubblicati in casi da sala d'attesa
Un periodo di raffreddamento predefinito di tre giorni per gli aggiornamenti di versione cambia la rapidità con cui l'automazione può portare le dipendenze appena pubblicate nella coda di revisione di un manutentore.
Quando il codice fresco subisce un ritardo: GitHub trasforma il tempo in un filtro per la supply chain
Un nuovo cooldown predefinito in Dependabot mostra come i difensori dell'open source stiano usando l'età, non solo le firme, per rallentare gli aggiornamenti rischiosi delle dipendenze.