GitHub vai pausar alertas Dependabot em repositórios inativos
Um repositório pode continuar sustentando um serviço em produção muito depois do último commit. O GitHub mudará o tratamento dos alertas Dependabot nesses casos.
Além de ASPM
AppSec orientada por provas para equipes que desenvolvem com IA
A Plexicus usa AI Swarm Pentest para explorar caminhos autorizados da aplicação, validar o que é explorável e dar às equipes evidências para priorizar a remediação.
Explorar AI Swarm PentestUm repositório pode continuar sustentando um serviço em produção muito depois do último commit. O GitHub mudará o tratamento dos alertas Dependabot nesses casos.
O que muda em 8 de dezembro
O GitHub anunciou que, a partir de 8 de dezembro de 2026, desativará alertas Dependabot na maioria dos repositórios sem atividade elegível no último ano. Alertas existentes são arquivados, não excluídos, e podem ser restaurados. A mudança não prova que o software inativo é seguro ou deixou de ser usado.
O GitHub considera atividade a criação do repositório, um push para qualquer branch ou tag e a ativação dos alertas. Um push os reativa automaticamente; também é possível ativá-los nas configurações. Ambos restauram alertas arquivados e reiniciam o prazo de um ano.
Exceções importantes
Repositórios com configuração de segurança imposta que ativa alertas Dependabot ficam excluídos. O mesmo vale para repositórios em empresas cuja política impeça administradores de alterar essa configuração. A mudança vale para todos os planos do GitHub.com e para GitHub Enterprise Cloud com residência de dados, mas não para GitHub Enterprise Server. Consulte o anúncio oficial para regras atuais.
O que a equipe deve fazer
- Identifique repositórios sem atividade elegível cujo código ainda esteja implantado ou seja reutilizado.
- Verifique configurações impostas e políticas empresariais e atribua responsáveis.
- Quando apropriado, reative alertas nas configurações ou por mudança autorizada e revise os alertas restaurados. Não crie commits sem conteúdo apenas para reiniciar o prazo.
- Relacione repositórios a implantações e avalie dependências vulneráveis com evidências. Restaurar alertas não corrige uma vulnerabilidade.
Conecte repositório e aplicação
Um repositório inativo ainda pode sustentar um serviço ativo. Plexicus remediation descreve correções revisáveis de achados validados; AI Swarm Pentest cobre testes autorizados de aplicações e APIs. Isso não significa que Plexicus altere automaticamente configurações do GitHub ou restaure alertas Dependabot. Registre responsáveis e decisões de correção.
Miniatura: exemplo original de alerta do GitHub Docs, GitHub, CC BY 4.0. A captura ilustra um alerta, não um repositório inativo.
