Dependabot 実装ガイド（dependabot.yml 設定／アラート・セキュリティ更新／auto-merge／トラブルシュート／プライベートレジストリ／モノレポ／Actions SHA固定／Docker／Renovate・SCA技術選定）

Dependabot のPRを GitHub Actions で安全に自動マージする実装ガイド。公式ドキュメント（2026年6月時点）に忠実に、dependabot/fetch-metadata@v3 の全出力、update-type による条件分岐、gh pr merge --auto、読み取り専用 GITHUB_TOKEN と Dependabot シークレットの token モデル、pull_request と pull_request_target の使い分け、必須チェックとブランチ保護で安全弁を作る方法までを、コピペできる実コードで解説します。

Dockerfile / Docker Compose のベースイメージを Dependabot で安全に更新し続ける実装ガイド。公式ドキュメント（2026年6月時点）に忠実に、docker / docker-compose エコシステムの設定、タグ更新と digest ピン留め（image:tag@sha256:...）の違い、silent rebuild で増える CVE への対策、マルチステージ・プライベートレジストリ（ECR/Artifact Registry）連携、auto-merge を慎重にする理由までを、コピペできる実コードで解説します。

GitHub Actions の `uses:` を可変タグからコミットSHAへピン留めし、Dependabot で安全に更新し続ける実践ガイド。公式のセキュリティ強化指針（2026年6月時点）に忠実に、なぜタグ参照が危険か、SHAピン留め＋バージョンコメント、Dependabot が SHA とコメントを同時更新する挙動、既存リポジトリの一括ピン留め、最小権限 GITHUB_TOKEN・信頼できるアクションのみ許可・SHA固定の強制ポリシーまで、多層防御を実コードで解説します。

モノレポ（Turborepo / pnpm・npm・yarn workspaces / Nx）で Dependabot を破綻させずに運用する設計ガイド。公式ドキュメント（2026年6月時点）に忠実に、directories のグロブで1エントリに集約する方法、ワークスペースとロックファイルの関係、groups と group-by: dependency-name でディレクトリ横断にPRを束ねる方法、パッケージ別ポリシー、影響範囲だけテストするCIとの連携までを、コピペできる実コードで解説します。

社内・プライベートレジストリの依存を Dependabot で更新するための実装ガイド。公式ドキュメント（2026年6月時点）に忠実に、registries ブロックの全 type 別認証フィールド、Dependabot シークレット（≠Actions シークレット）、GitHub Packages の自動認証、AWS CodeArtifact・Google Artifact Registry・JFrog Artifactory の OIDC、ECR の静的AWS認証、そして私設ネットワークに到達する self-hosted ランナー（dependabot ラベル）までを、コピペできる実コードと最小権限設計で解説します。

GitHub の Dependabot アラートとセキュリティ更新を本番品質で運用するガイド。公式ドキュメント（2026年6月時点）に忠実に、アラートとセキュリティ更新の違い、有効化の前提条件、auto-triage rules（自動トリアージ）でアラート疲れを防ぐ方法、grouped security updates、SLA を持ったトリアージ運用、REST API での可観測性までを、SCA と SAST/DAST の役割分担を含めて実コードで解説します。

Dependabot がPRを作らない・脆弱性が直らない・プライベートレジストリでエラーになる——よくある詰まりを原因別に切り分けて直す実践ガイド。公式ドキュメント（2026年6月時点）に忠実に、『PRが来ない』の典型原因、Cannot update to a non-vulnerable version、private_source_* エラー、ログの読み方、そして2026年1月に変わった @dependabot コメントコマンドの最新仕様までを、コピペできる確認手順で解説します。

依存関係の自動更新ツール Dependabot と Renovate を実務目線で比較する技術選定ガイド。GitHub ネイティブのゼロ設定 vs 90超のパッケージマネージャ・多Git基盤・Dependency Dashboard・グループ化プリセット。料金（標準ランナーで無料／Mendホスト無料＋有料アドオン）、自己ホスト、モノレポ、セキュリティ連携の違いを比較表で整理し、状況別の選定軸と移行の判断材料を提示します。

依存関係の脆弱性を見つける SCA（Software Composition Analysis）ツールを実務目線で比較する技術選定ガイド。Dependabot・Snyk・Trivy・Grype・OSV-Scanner・OWASP Dependency-Check・npm audit を、検知DB・修正PR・reachability 解析・CI連携・SBOM・料金・対応範囲で整理。検知（scan）と修正（update PR）は別物という役割分担、SCA と SAST/DAST の違い、状況別の選定フローを提示します。

GitHub の dependabot.yml を本番品質で書くための設定完全ガイド。公式の設定リファレンス（2026年6月時点）に忠実に、package-ecosystem の全対応リスト、directory と directories（グロブ）、schedule と cooldown、groups（applies-to / group-by）、allow と ignore の優先順位、registries とプライベートレジストリ認証、commit-message、target-branch、multi-ecosystem-groups までを、コピペできる実例で解説します。