Renovate

#Continuous Integration

依存とロックファイルの更新 Pull Request を自動生成するツール。公式は "Automated dependency updates. Multi-platform and multi-language." を標榜し、90+ のパッケージマネージャに対応する

Mend.io が維持する OSS（AGPL-3.0-only）で、GitHub / GitLab など 9 つの Git プラットフォームで動く

設定は renovate.json などのリポジトリ内ファイルと再利用可能な preset で行い、Dependency Dashboard・grouping・automerge を備える
npm パッケージ / Docker イメージとしてセルフホストするほか、Mend Renovate App（ホスト型）も使える

https://docs.renovatebot.com/ https://github.com/renovatebot/renovate

Securing CI-CD for an open source project: Locking down dependencies

#Security #Continuous Integration Cilium を題材に CI/CD 依存の固定・審査戦略を解説した CNCF ブログ記事（全3回の第2回） GitHub Actions の SHA pin: タグではなく 40 字コミット SHA で参照し、tag 書き換えによるサプライチェーン攻撃を防ぐ Renovate 自動更新: pinGitHubActionDigests preset で SHA を自動管理、minimumReleaseAge 5 日クールダウンで公開直後の悪意バージョンを回避 Go ベンダリング: vendor/ をリポジトリに commit し CI で go.mod/go.sum を検証、proxy 改ざんをレビュー可視に actionlint で pin 漏れ・runner image タグ未固定を検出 CODEOWNERS で vendor/ 変更者を限定し依存変更の承認ゲートを構築 https://www.cncf.io/blog/2026/06/12/securing-ci-cd-for-an-open-source-project-locking-down-dependencies/
Renovate/

minimumReleaseAge

#Security Renovate の設定オプション。パッケージのリリースが公開されてから指定期間（例: "3 days"）経過するまで、そのバージョンへの更新 PR を作らず待機させる（旧名 stabilityDays）公開直後の悪意あるバージョンを取り込むのを避けるサプライチェーン攻撃の緩和策。コミュニティが侵害パッケージを検知・撤回するまでの猶予を置いてから更新する automerge と併用すると、自動マージ前のクールダウン期間として機能する https://docs.renovatebot.com/configuration-options/#minimumreleaseage
Renovate/

Mend Self-hosted App

#Continuous Integration Renovate を自前インフラで運用する Mend 公式の商用セルフホスト版（Community Edition / Enterprise Edition）。GitHub では自分で GitHub App を登録し、その bot として依存更新 PR を回す GitHub Action が workflow から CLI を都度実行するのに対し、こちらは Docker コンテナで常駐するサーバーとして動くのが違い特徴組み込みジョブスケジューラ（デフォルト毎時）が全リポジトリをキューに投入し、cron の構築・監視が不要 webhook リスナー（/webhook）で App 追加・main への設定変更・Renovate PR の close/merge 等に即応し、優先度付きキューで処理するホスト型のクラウド Mend Renovate App とは別で、GitHub Enterprise Server など自前環境向け https://github.com/mend/renovate-ce-ee
Renovate/

GitHub Action

#Continuous Integration Renovate を GitHub Actions 上でセルフホストする公式 Action renovatebot/github-action。ホスト型 Mend Renovate App を使わず、自前リポジトリの workflow から依存更新 PR を回す前提のセットアップ設定 workflow の on.schedule（cron）で定期実行する（例: 0/15 * * * *）設定ファイルは configurationFile で指定（JS / JSON）。RENOVATE_ 接頭辞の環境変数はそのままコンテナへ渡る renovate-version で実行する Renovate（Docker イメージ）のバージョンを固定できる https://github.com/renovatebot/github-action
LayerX コーポレートエンジニアリング室のサプライチェーンセキュリティ

#Security #Continuous Integration LayerX のコーポレートエンジニアリング室（アプリケーショングループ）による、ソフトウェアサプライチェーン攻撃対策の運用事例（2026-02 の発表）。使う技術を絞り、少人数でもスケールする状態を目指す。依存を pin する: lockfile（pnpm-lock.yaml・go.sum）に加え、GitHub Actions の pinning を CI で強制。org ruleset の require workflows で org 全体に共有 workflow を適用し、その共有 workflow で pinact を実行して未 pin の action を検知。Docker イメージは sha256、CI/CD ツールは aqua で checksum 検証 cooldown: リリースから N 日以内のパッケージを入れない（pnpm・Renovate の minimumReleaseAge、Dependabot の cooldown.default-days）。security fix のみ人間確認後に minimumReleaseAgeExclude で除外まとめ: 迅速な修正・pinning・cooldown に加え、検知・遮断・影響範囲の局所化も併せて進める https://speakerdeck.com/yuyatakeyama/supply-chain-security-at-layerx-corporate-engineering