dependabot.yml è il file di configurazione a livello di repository che indica a GitHub Dependabot come comportarsi. Definisce quali ecosistemi di dipendenze monitorare, con quale frequenza controllare gli aggiornamenti, quali directory analizzare e quali regole si applicano alle pull request aperte da Dependabot. I team lo usano per adattare l'automazione al proprio processo di rilascio invece di accettare un'impostazione predefinita valida per tutti.
Nel campo della sicurezza informatica, questo file è importante perché l'automazione delle dipendenze fa parte della supply chain del software. Una configurazione prudente può ridurre gli aggiornamenti rumorosi, imporre abitudini di revisione e controllare i tempi per le versioni pubblicate di recente, aiutando a difendersi da pacchetti avvelenati o sospetti. Può anche mantenere rapido il flusso degli aggiornamenti di sicurezza quando compare una vulnerabilità nota. In pratica, dependabot.yml è il punto in cui i maintainer definiscono le policy che bilanciano velocità, fiducia e supervisione umana.