Novo campo de versão no Dependabot: registro não comprova o deploy
Em 20 de outubro de 2026, o GitHub adicionou dependency.version_requirement às respostas REST dos alertas Dependabot. O contexto ajuda a investigação, mas não certifica a versão instalada agora em produção. Separe o recurso anunciado das verificações operacionais propostas.
Faixa vulnerável e registro do repositório são colunas distintas
vulnerable_version_range descreve a faixa afetada pelo aviso. O novo campo contém a versão ou restrição registrada por último para o alerta. Preserve pacote, ecossistema e manifest_path junto aos dois valores. Uma restrição não é uma única versão instalada; uma legenda correta evita classificações enganosas.
O caminho de detecção muda o significado
Lockfiles fornecem a versão resolvida; manifests sem lockfile, a versão ou restrição declarada; a dependency submission API, a versão resolvida enviada pelo build. O campo aparece em alertas individuais, listas de repositório, organização e empresa, e webhooks dependabot_alert. Está disponível em github.com e Enterprise Cloud com residência de dados; será incluído no Enterprise Server 3.24. Não presuma suporte em servidores anteriores.
null e cobertura parcial são entradas normais
Sem valor disponível, o campo é null. Um alerta com várias versões vulneráveis pode representar apenas uma delas; restrições longas podem ser truncadas. Nossa proposta: preservar strings e null, separar desconhecido de seguro e sinalizar tickets antigos sem informação. O mesmo total de alertas não prova cobertura completa de versões.
Validar a integração com casos representativos
Guarde resposta sem segredos, horário da coleta, ID do alerta e caminho do manifest. Leve casos de lockfile, restrição e null até a tela do ticket. Concilie webhook e consultas por repositório e identificador para evitar duplicatas. Confira permissões por endpoint. São propostas operacionais, não um novo recurso de correção automática.
Para conhecer o deploy atual, consulte evidências de build e implantação separadamente. Depois da atualização, execute testes e releia o estado do alerta. O campo pode reduzir consultas sem substituir a validação de release. O responsável deve distinguir restrição, desconhecido e versão representativa e saber qual evidência falta.
Fontes oficiais
GitHub Changelog · Dependency versions
GitHub Docs · Dependabot alerts REST API
Verificado em 21 de outubro de 2026. Compare uma resposta de alerta com a versão exibida no ticket.