「依存更新の自動化、Dependabot と Renovate どっちが良い？」——案件でもチームでも頻出の問いです。結論を先に言うと、GitHub 中心でゼロ設定・ネイティブなセキュリティ連携を重視するなら Dependabot、グループ化の柔軟性・細かい制御・多Git基盤・希少エコシステムが要件なら Renovate です。この記事では、両者を実務の選定軸で比較し、移行の妥当性まで踏み込みます。
この記事はDependabot 本番運用ガイドクラスタの技術選定編です。Dependabot 側の具体的な設定・運用は設定完全ガイド・auto-merge ガイド・脆弱性対応ガイドを参照してください。
この記事のルール：Dependabot 側は GitHub 公式ドキュメントと github.com の料金ページ（2026年11月に再確認）、Renovate 側は Renovate（Mend）公式ドキュメントに基づきます。両ツールとも進化が速いため、選定前に各公式で最新を確認してください。出典は記事末尾に明記します。
Dependabot の料金：無料の範囲と有料になる場所
先に「Dependabot はお金がかかるのか」に答えます。
- Dependabot そのものは無料：GitHub の料金ページは Free プランに「Dependabot security and version updates」を含めており、Dependabot alerts も GitHub Docs で「すべてのプランに含まれる」機能として挙げられています。パブリック・プライベートどちらのリポジトリでも使えます。
- Actions の分数：Dependabot のジョブは GitHub Actions 上で動きますが、標準の GitHub ホストランナーと自己ホストランナーでの実行は Actions の無料枠（included minutes）に数えられません（自己ホストランナーはプライベートリポジトリのみ）。larger runner で動かした場合だけ、通常レートで課金されます。
- 有料になるのは別製品：GitHub Code Security（code scanning、Dependabot のカスタム auto-triage ルール、dependency review など）と GitHub Secret Protection（secret scanning、push protection など）です。どちらも Team か Enterprise プランでのみ購入でき、価格はアクティブコミッター1人あたり月額 $30（Code Security）／$19（Secret Protection）（USD、github.com の掲載価格。別途プラン料金がかかり、Team は1ユーザー月額 $4、Enterprise は $21）。2つを合わせたものが GitHub Advanced Security です。パブリックリポジトリでは code scanning や secret scanning が無料で使えます。
- Renovate：OSS 版（AGPL-3.0-only）と、Mend がホストする Mend Renovate Community Cloud は無料。有料はサポートや Merge Confidence Workflows が付く Mend Renovate Enterprise Cloud（価格は Mend に問い合わせ）です。
料金の比較
| 項目 | Dependabot（GitHub） | Renovate |
|---|---|---|
| 本体 | 無料（alerts / security updates / version updates。パブリック・プライベートとも） | 無料（OSS 版は AGPL-3.0-only。Mend Renovate Community Cloud も無料） |
| 実行環境のコスト | GitHub Actions 上で実行。標準ランナー・自己ホストランナー（プライベートリポジトリのみ）は Actions の無料枠に数えない。larger runner は通常レートで課金 | Mend のクラウドなら不要。自己ホストならサーバー・CI 代は自分持ち |
| 有料になるもの | GitHub Code Security（$30）／GitHub Secret Protection（$19）。アクティブコミッター1人あたり月額 USD、Team / Enterprise プランで購入（別途プラン料金がかかり、Team は1ユーザー月額 $4、Enterprise は $21） | Mend Renovate Enterprise Cloud（価格は sales@mend.io に問い合わせ）など |
| 有料で増える依存管理まわりの機能 | プライベートリポジトリでのカスタム auto-triage ルールと dependency review | Merge Confidence Workflows、Mend のサポート、同時実行ジョブ数とスケジュール頻度の拡大 |
注意：Dependabot が開いたPRをトリガに走る自分の CI ワークフローは、通常の Actions 利用として扱われます。無料なのは Dependabot の更新ジョブ自体です。詳しい内訳は「3. 料金の正確な理解」で整理します。
1. 一目で分かる比較表
| 観点 | Dependabot | Renovate |
|---|---|---|
| 提供元 | GitHub（ネイティブ） | Mend（旧 WhiteSource）。OSS |
| 対応 Git 基盤 | GitHub（GitHub に組み込まれた機能） | GitHub / GitLab / Bitbucket / Azure DevOps / Gitea / Forgejo / AWS CodeCommit など |
| パッケージマネージャ | 30 強（npm/pip/gomod/docker/maven 等） | 90超 |
| セットアップ | ゼロ設定（設定不要で alerts/security、dependabot.yml で version） | renovate.json ＋ Mend アプリ導入 or 自己ホスト |
| 設定ファイル | dependabot.yml（YAML） | renovate.json（JSON / 高度なプリセット） |
| Dependency Dashboard | なし | あり（既定ON）。major を1Issueで棚卸し |
| グループ化 | groups / multi-ecosystem-groups（設定で） | コミュニティ提供プリセットが標準で束ねる |
| スケジュール | package-ecosystem エントリ単位（daily〜yearly / cron） | 依存ごと・マネージャごとにも指定可（既定は許される限り頻繁に実行） |
| セキュリティ連携 | GitHub alerts / security updates とネイティブ統合 | 独自（脆弱性検知も可、GitHub ほどネイティブではない） |
| 料金 | 無料（標準ランナーでは Actions の無料枠も消費しない） | OSS 版・Mend Community Cloud は無料 / Enterprise は有料 |
| 自己ホスト | self-hosted ランナー（プライベート網到達用） | OSS 版（npm パッケージ / Docker イメージ）を自前運用可。Mend の CE / EE（EULA）もある |
補足：Dependabot は
groups・cooldown・directories（グロブ）・multi-ecosystem-groups・group-by: dependency-name（モノレポのディレクトリ横断グループ）などの追加で、かつて Renovate が独占していた機能の多くに追いつきました。cooldownを書かなくても、version updates には既定で3日のクールダウンがかかります（security updates には適用されない）。「機能差で Renovate 一択」という時代ではなくなっています。対応基盤について：Renovate 公式の比較ページは、表では Dependabot の公式対応先を「GitHub and Azure DevOps」としつつ、本文では「公式の Dependabot は GitHub でのみ動く」と書いており、同じページ内で記述が揃っていません。本記事は GitHub に組み込まれた Dependabot を対象にしています。
2. それぞれの「象徴的な強み」
2.1 Dependabot：GitHub に溶け込むゼロ設定とセキュリティ統合
Dependabot 最大の価値はGitHub ネイティブであることです。
- 設定ゼロで脆弱性対応が始まる：alerts と security updates はトグルだけ。GitHub Advisory Database と直結し、セキュリティ更新PRがマージされるとアラートが自動クローズされる、といった統合は GitHub 純正ならでは。
- 無料：パブリック・プライベートとも追加料金なし。標準ランナーと自己ホストランナー（プライベートリポジトリのみ）での実行は Actions の無料枠に数えられません（larger runner のみ通常レートで課金）。
- 学習コストが低い：
dependabot.ymlは素直な YAML。チームに展開しやすい。 - GitHub Actions のサプライチェーンも守れる：
package-ecosystem: github-actionsでワークフローのアクション自体を更新対象にできる。
「GitHub を使っていて、まず脆弱性を見逃さない最低ラインを引きたい」なら、議論の余地なく Dependabot から始めるべきです。
2.2 Renovate：柔軟性・Dependency Dashboard・多基盤
Renovate の象徴は柔軟性とDependency Dashboardです。
- Dependency Dashboard（既定ON。オンボーディングで入る
config:recommendedに:dependencyDashboardが含まれる）：リポジトリに1つの「依存ダッシュボード」Issueを作り、major バージョンアップはチェックボックスを入れて初めてPRを開く運用ができる。「major の棚卸しを1か所で」が自然にできるのは強力です。 - コミュニティ提供のグループ化プリセット：
config:recommendedにはgroup:monorepos（同じモノレポから出るパッケージを1つのPRにまとめる）やgroup:recommendedが入っており、定番のグループ化が最初から効く。Dependabot のように自分でgroupsを書かなくても、賢い既定が来ます。 - 細かいスケジュール：スケジュールを依存ごと・マネージャごと、またはグローバルに設定できる。Dependabot も
cronを使えるが、指定はpackage-ecosystemエントリ単位です。 - 多Git基盤・90超のパッケージマネージャ：GitLab/Bitbucket/Azure DevOps/Gitea/Forgejo などに対応。希少なパッケージマネージャもカバー。
- 自己ホスト：OSS 版（AGPL-3.0-only）を npm パッケージ（Node.js）や Docker イメージとして、自前の Git インスタンスに向けて回せる。自己ホスト GitLab CE / Gitea / Forgejo には Dependabot のクリーンな道がないため、ここは Renovate の独壇場です。
3. 料金の正確な理解
「どちらも基本無料」ですが、無料の意味が違います。
- Dependabot：GitHub 組み込み。標準ランナーと自己ホストランナー（プライベートリポジトリのみ）では Actions の無料枠を消費しない＝パブリック/プライベートとも無料。larger runner で動かす場合のみ通常レートで課金。お金がかかるのは GitHub Code Security / Secret Protection を足すとき（冒頭の料金表）。
- Renovate：
- Mend がホストする Mend Renovate Community Cloud は無料（パブリック・プライベートとも、リポジトリ数の上限なし）。ただし同時実行ジョブは Org あたり1つ、アクティブなリポジトリへのジョブは4時間ごと。
- OSS 版（npm パッケージ / Docker イメージ）は AGPL-3.0-only で無料（自分のインフラ・CI 分は当然かかる）。
- Mend Renovate Self-Hosted Community Edition（CE） は無料のライセンスキーで使える自己ホスト版。ただし AGPL ではなく EULA のクローズドソースです。
- 有料：Mend Renovate Enterprise Cloud（サポート、スケーラビリティとスケジュールの強化、Merge Confidence Workflows）。Merge Confidence のバッジ自体は Mend Renovate App で自動的に有効になり、有料なのは「High 以上の confidence になってからPRを出す」といった Workflows の側です（OSI 承認ライセンスの OSS プロジェクトは Community (OSS) プランを申請でき、Mend に承認されればこのプランでも Workflows を使えます）。
コスト判断のコツ：Dependabot は「ツールは無料、消費するのはPRをトリガに走る自分のCI 分」。Renovate 自己ホストは「ツールは無料、消費するのはRenovate 自体を走らせる計算資源 + CI 分」。運用の手間（自己ホストの保守）も“コスト”として勘定に入れてください。
4. 状況別の選定フロー
実務の問いに沿って絞り込みます。
- GitHub を使っている？ → No なら Renovate（Dependabot は GitHub に組み込まれた機能）。
- まず脆弱性検知の最低ラインを最速で引きたい？ → Dependabot（ゼロ設定 + ネイティブ alerts）。
- PRのグループ化・スケジュールを細かく制御したい / major を1か所で棚卸ししたい？ → Renovate（Dependency Dashboard + プリセット）。ただし Dependabot の
groups/cooldownで足りることも多い。 - 大規模モノレポで path 単位の繊細な制御が要る？ → Renovate が一日の長。Dependabot も
directoriesグロブ +group-byで対応可能なので、要件次第。 - 希少なパッケージマネージャ（90超のどれか）を使う？ → Renovate。
- チームの学習コストと運用負荷を最小にしたい？ → Dependabot（純正・YAML・保守不要）。
私の実務的な既定：「GitHub なら、まず Dependabot」。
groups・cooldown・auto-merge（GitHub Actions）まで使い倒しても要件が満たせないと分かってから Renovate を検討する——これが学習コストと運用負荷を最小化する順序です。最初から Renovate を自己ホストするのは、要件が明確な場合に限ります（YAGNI）。
5. 併用・移行の考え方
- 併用は基本おすすめしない：同じリポジトリで両方を回すとPRが二重になり、混乱します。1リポジトリ1ツールが原則。
- Dependabot → Renovate 移行：
dependabot.ymlのignore/groups/scheduleに相当する設定をrenovate.jsonに翻訳します。Renovate には移行を助けるプリセットや設定ガイドがあります。alerts/security updates の GitHub ネイティブ統合を手放す点は要評価（Renovate でも脆弱性対応は可能だが、GitHub ほどシームレスではない）。 - Renovate → Dependabot 移行：細かいプリセットを手放す覚悟が要ります。が、運用をシンプルにしたい場合の合理的な選択。Dependabot 側の機能が増えた今、移行の現実味は上がっています。
6. 結論
| あなたの優先事項 | 選ぶべきツール |
|---|---|
| GitHub ネイティブ・ゼロ設定・セキュリティ統合・保守レス | Dependabot |
| 柔軟なグループ化/スケジュール・Dependency Dashboard・多Git基盤・希少エコシステム | Renovate |
| 迷っている / まず始めたい | Dependabot から。足りなくなってから Renovate |
依存更新の自動化は「どちらが優れているか」ではなく「あなたの基盤・要件・運用体制にどちらが噛み合うか」の問題です。多くの GitHub プロジェクトは Dependabot を使い倒すだけで十分な品質に届きます。具体的な作り込みは本クラスタの各ガイド——設定・auto-merge・脆弱性対応——へどうぞ。
出典
- About Dependabot — GitHub Docs
- Dependabot options reference — GitHub Docs
- Dependabot on GitHub Actions runners — GitHub Docs
- About GitHub Advanced Security — GitHub Docs
- GitHub Advanced Security license billing — GitHub Docs
- GitHub Pricing
- GitHub Advanced Security
- Bot comparison — Renovate Docs
- Mend Renovate Cloud-hosted (Community and Enterprise) — Renovate Docs
- Running Renovate — Renovate Docs
- Merge Confidence — Renovate Docs
- Renovate (Mend) Documentation