Renovate

Renovate – Automatisierte Dependency-Updates für alle Sprachen

Renovate ist das führende Open-Source-Tool für automatisierte Dependency-Updates. Als GitHub-App, GitLab-Bot oder self-hosted Service überwacht Renovate kontinuierlich alle Dependencies in einem Repository – npm, yarn, pnpm, pip, composer, Cargo, Go Modules, Helm-Charts, Docker-Images, Terraform-Module und viele mehr – und erstellt automatisch Pull Requests für verfügbare Updates. Der Unterschied zu manuellem npm update: Renovate ist vollständig konfigurierbar und arbeitet kontinuierlich.

Konfiguration und Merge-Strategien

Renovate wird über renovate.json konfiguriert: Automerge für Patch-Updates (risikoarm), manueller Review für Major-Updates (breaking changes), Batch-Updates für bestimmte Package-Gruppen. Schedule-Konfiguration bündelt Updates zu wöchentlichen Batches statt täglichem Noise. packageRules erlauben granulare Regeln: lodash immer automergen, react nur manuell, @types/* ohne Test-Requirement. Group-Namen bündeln verwandte Packages in einem PR: „Update all ESLint packages".

Vulnerability-Remediation und Security-Updates

Renovate parst GitHub-Security-Advisories und öffnet sofort PRs für Packages mit bekannten CVEs – unabhängig vom regulären Update-Schedule. Diese Security-PRs erhalten höchste Priorität und sind leicht identifizierbar. In Kombination mit Snyk oder Dependabot-Alerts entsteht ein mehrschichtiges Sicherheitsnetz für Supply-Chain-Angriffe über kompromittierte npm-Packages.

Renovate vs. Dependabot

Renovate bietet deutlich mehr Flexibilität als Dependabot: Unterstützung für mehr Package-Manager, mächtigere Konfiguration, Batching-Optionen und Self-Hosting. Dependabot ist einfacher einzurichten und direkt in GitHub integriert. Bei TYPONiels wird Renovate für alle GitLab-Projekte eingesetzt – die vollständige Kontrolle über Update-Scheduling und Merge-Strategie ist entscheidend für produktive Repositories mit vielen Dependencies.