Dependabot・Renovate設定｜目的別コピペ設定集と比較表

Dependabot と Renovate は、どちらも依存パッケージの新しいバージョンを見つけて更新用のプルリクエスト（PR）を自動で作るツールです。 Dependabot は GitHub に組み込まれていて .github/dependabot.yml を置くだけで動き、Renovate は renovate.json の packageRules で細かい条件分けと自動マージまで設定できます。

この記事では、両ツールの主要な設定項目を比較表で整理し、「パッチは自動マージ」「メジャーは別PR」「週1回まとめる」「公開から3日待つ」など目的別の設定を、両ツール分コピペできる形でまとめました。掲載した設定は、Renovate は renovate-config-validator 44.128.3、Dependabot は SchemaStore の JSON Schema（ajv 8.20.0）で検証した結果つきです。なお GitHub 上で実際に PR が作られる動作は、この記事では実行していません（検証は設定ファイルの構文・スキーマまで）。

Dependabot・Renovateの機能比較表

選び方の目安：GitHub だけで、設定を最小にしたいなら Dependabot。自動マージや細かい条件分け、複数リポジトリでの設定共有をしたいなら Renovate。 両方を同じ依存に対して動かすと PR が重複するので、使うのはどちらか一方にします。

目的別のコピペ設定集

各設定は単体で有効なファイルとして検証済みです。組み合わせた完成形は後半に載せています。

週1回、メジャー以外をまとめて1つのPRにする

PR の数を減らす一番効果の大きい設定です。 毎週月曜の朝にまとめて届くようにします。

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "monday"
      time: "09:00"
      timezone: "Asia/Tokyo"
    open-pull-requests-limit: 10
    labels:
      - "dependencies"
    commit-message:
      prefix: "chore"
      prefix-development: "chore(dev)"
      include: "scope"
    groups:
      npm-minor-patch:
        update-types:
          - "minor"
          - "patch"

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "timezone": "Asia/Tokyo",
  "schedule": ["* 0-8 * * 1"],
  "packageRules": [
    {
      "description": "メジャー以外は週1回1つのPRにまとめる",
      "matchUpdateTypes": ["minor", "patch"],
      "groupName": "all non-major dependencies",
      "groupSlug": "all-minor-patch"
    }
  ]
}

Renovate の schedule は cron 形式（* 0-8 * * 1 は月曜0〜8時台）でも、"before 9am on monday" のような英語の書き方でも指定できます。schedule は「PR を作ってよい時間帯」の指定で、その時間に Renovate が実行されている必要があります（Mend の GitHub App ならおおむね定期的に実行されます）。

devDependenciesをまとめる

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    groups:
      dev-dependencies:
        dependency-type: "development"
        update-types:
          - "minor"
          - "patch"
      prod-dependencies:
        dependency-type: "production"
        update-types:
          - "patch"

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "packageRules": [
    {
      "description": "devDependencies のメジャー以外をまとめて自動マージ",
      "matchDepTypes": ["devDependencies"],
      "matchUpdateTypes": ["minor", "patch"],
      "groupName": "devDependencies (non-major)",
      "automerge": true
    }
  ]
}

Dependabot の groups は上から順に評価され、最初に当てはまったグループに入ります。 どのグループにも入らない更新（この例では本番依存の minor・major）は個別の PR になります。

パッチ更新は自動マージする

Renovate は設定だけで完結します。matchCurrentVersion: "!/^0/" は、0.x 系（パッチでも破壊的変更が入ることがある）を自動マージの対象から外す指定です。

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "packageRules": [
    {
      "description": "パッチ更新はCIが通れば自動マージ",
      "matchUpdateTypes": ["patch"],
      "matchCurrentVersion": "!/^0/",
      "automerge": true,
      "automergeType": "pr",
      "platformAutomerge": true
    }
  ]
}

Dependabot には自動マージの設定項目がないため、GitHub Actions で dependabot/fetch-metadata を使い、パッチ更新のときだけ GitHub の auto-merge を有効にします（GitHub Docs の手順に沿った形）。

# .github/workflows/dependabot-automerge.yml
name: Dependabot auto-merge
on: pull_request

permissions:
  contents: write
  pull-requests: write

jobs:
  automerge:
    runs-on: ubuntu-latest
    if: github.event.pull_request.user.login == 'dependabot[bot]'
    steps:
      - name: Fetch metadata
        id: meta
        uses: dependabot/fetch-metadata@v2
        with:
          github-token: "${{ secrets.GITHUB_TOKEN }}"
      - name: Enable auto-merge for patch updates
        if: steps.meta.outputs.update-type == 'version-update:semver-patch'
        run: gh pr merge --auto --squash "$PR_URL"
        env:
          PR_URL: ${{ github.event.pull_request.html_url }}
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

gh pr merge --auto は「必須チェックが通ったらマージする」予約です。必須チェック（ブランチ保護）がないと、その場でマージされます。 前提は後の「自動マージの前提」で整理します。

メジャー更新は別PRにして、承認してから作る

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "separateMajorMinor": true,
  "packageRules": [
    {
      "description": "メジャー更新は個別PR・承認制・ラベル付き",
      "matchUpdateTypes": ["major"],
      "dependencyDashboardApproval": true,
      "labels": ["dependencies", "major-update"]
    }
  ]
}

dependencyDashboardApproval: true にすると、メジャー更新は Dependency Dashboard（Renovate が作る Issue）にチェックボックスとして並び、チェックを入れたものだけ PR が作られます。 移行作業の予定に合わせて着手できます。

Dependabot では、groups の update-types を minor・patch だけにすると、メジャーはグループに入らず個別の PR になります。

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    groups:
      non-major:
        update-types:
          - "minor"
          - "patch"
    labels:
      - "dependencies"

公開から3日待ってから更新する

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "daily"
    cooldown:
      default-days: 3
      semver-major-days: 14
      semver-minor-days: 7
      semver-patch-days: 3
      exclude:
        - "@example-org/*"

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "minimumReleaseAge": "3 days",
  "internalChecksFilter": "strict",
  "packageRules": [
    {
      "description": "社内パッケージは待たずに更新",
      "matchPackageNames": ["@example-org/**"],
      "minimumReleaseAge": null
    }
  ]
}

internalChecksFilter: "strict" を付けると、待機期間を満たすまでブランチも PR も作りません。 付けない場合は、PR を作ったうえで待機中を示すステータスチェックが保留になります。Renovate の config:best-practices プリセットには、npm パッケージを3日待つ security:minimumReleaseAgeNpm が含まれています。

特定のパッケージを固定・除外する

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    ignore:
      - dependency-name: "react"
        update-types:
          - "version-update:semver-major"
      - dependency-name: "react-dom"
        update-types:
          - "version-update:semver-major"
      - dependency-name: "legacy-sdk"
      - dependency-name: "typescript"
        versions:
          - ">= 8.0.0"

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "packageRules": [
    {
      "description": "react は 19 系に固定（20 以上を提案しない）",
      "matchPackageNames": ["react", "react-dom"],
      "allowedVersions": "<20.0.0"
    },
    {
      "description": "legacy-sdk は更新しない",
      "matchPackageNames": ["legacy-sdk"],
      "enabled": false
    }
  ]
}

Dependabot の versions は「無視する範囲」、Renovate の allowedVersions は「許可する範囲」です。向きが逆なので注意してください。

DockerとGitHub Actionsも更新する

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      interval: "weekly"
    groups:
      github-actions:
        patterns:
          - "*"
  - package-ecosystem: "docker"
    directories:
      - "/"
      - "/services/*"
    schedule:
      interval: "weekly"
  - package-ecosystem: "docker-compose"
    directory: "/"
    schedule:
      interval: "weekly"

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended", "helpers:pinGitHubActionDigests", "docker:pinDigests"],
  "packageRules": [
    {
      "description": "GitHub Actions はまとめて1PR",
      "matchManagers": ["github-actions"],
      "groupName": "github-actions"
    },
    {
      "description": "Docker イメージのダイジェスト更新は自動マージ",
      "matchManagers": ["dockerfile", "docker-compose"],
      "matchUpdateTypes": ["digest"],
      "automerge": true
    }
  ]
}

GitHub Actions は directory: "/" と書くと .github/workflows が対象になります。Renovate は Dockerfile・docker-compose・ワークフローを自動で検出するので、ecosystem を書き足す必要はありません。 helpers:pinGitHubActionDigests は actions/checkout@v4 のようなタグ指定をコミットハッシュ（ダイジェスト）に固定し、そのハッシュを Renovate が更新していく設定です。

組み合わせた完成形

Dependabot（npm・GitHub Actions・Docker）

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "monday"
      time: "09:00"
      timezone: "Asia/Tokyo"
    open-pull-requests-limit: 10
    cooldown:
      default-days: 3
      semver-major-days: 14
      exclude:
        - "@example-org/*"
    ignore:
      - dependency-name: "legacy-sdk"
    groups:
      dev-dependencies:
        dependency-type: "development"
        update-types: ["minor", "patch"]
      prod-patch:
        dependency-type: "production"
        update-types: ["patch"]
    labels: ["dependencies"]
    commit-message:
      prefix: "chore"
      include: "scope"

  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "monday"
      time: "09:00"
      timezone: "Asia/Tokyo"
    groups:
      github-actions:
        patterns: ["*"]

  - package-ecosystem: "docker"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "monday"
      time: "09:00"
      timezone: "Asia/Tokyo"

Renovate

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended", "helpers:pinGitHubActionDigests"],
  "timezone": "Asia/Tokyo",
  "schedule": ["before 9am on monday"],
  "minimumReleaseAge": "3 days",
  "internalChecksFilter": "strict",
  "prConcurrentLimit": 10,
  "labels": ["dependencies"],
  "packageRules": [
    {
      "description": "パッチ更新は自動マージ（0.x は除く）",
      "matchUpdateTypes": ["patch"],
      "matchCurrentVersion": "!/^0/",
      "automerge": true
    },
    {
      "description": "devDependencies のメジャー以外は1つにまとめて自動マージ",
      "matchDepTypes": ["devDependencies"],
      "matchUpdateTypes": ["minor", "patch"],
      "groupName": "devDependencies (non-major)",
      "automerge": true
    },
    {
      "description": "メジャー更新は承認制で個別PR",
      "matchUpdateTypes": ["major"],
      "dependencyDashboardApproval": true,
      "labels": ["dependencies", "major-update"]
    },
    {
      "description": "社内パッケージは待たない",
      "matchPackageNames": ["@example-org/**"],
      "minimumReleaseAge": null
    },
    {
      "description": "react は 19 系に固定",
      "matchPackageNames": ["react", "react-dom"],
      "allowedVersions": "<20.0.0"
    },
    {
      "description": "GitHub Actions はまとめて1PR",
      "matchManagers": ["github-actions"],
      "groupName": "github-actions"
    }
  ]
}

packageRules は上から順に適用され、後のルールが前のルールを上書きします。 devDependencies のパッチは1つ目と2つ目の両方に当てはまり、2つ目の groupName が効いてグループ PR になります。

設定ファイルの検証結果

Renovate：renovate-config-validator

npm i -D renovate@44.128.3
# renovate.json があるフォルダで実行（リポジトリ設定として検証される）
npx renovate-config-validator --strict

この記事の Renovate 設定（目的別8つ＋完成形）はすべて次の結果でした。

 INFO: Validating renovate.json
 INFO: Config validated successfully against 1 file(s)

わざと間違えた設定では、次のように指摘されました。

{
  "extends": ["config:recommended"],
  "automerg": true,
  "packageRules": [{ "matchUpdateTypes": ["patches"], "automerge": true }]
}

 INFO: Validating renovate.json
ERROR: Found errors in configuration
       "file": "renovate.json",
       "errors": [
         {
           "topic": "Configuration Error",
           "message": "Invalid configuration option: automerg"
         }
       ]

（schedule を "every monday morning" にした場合）
ERROR: Found errors in configuration
       "file": "renovate.json",
       "errors": [
         {
           "topic": "Configuration Error",
           "message": "Invalid schedule: `Invalid schedule: Failed to parse \"every monday morning\"`"
         }
       ]

値のつづり違いは validator を通ってしまうことがあります。 $schema を書いてエディタの補完を使い、導入後は Dependency Dashboard で想定どおりのグループ・PR になっているかを確認すると確実です。

なお renovate 44.128.3 の CLI 本体は Node.js 24.11 以上が必要です（package.json の engines が ^24.11.0）。Node 22 の検証環境では validator は動きましたが、renovate --platform=local --dry-run での更新候補の確認は RegExp.escape is not a function で止まったため、未実行です。

Dependabot：SchemaStore の JSON Schema

Dependabot には公式の検証コマンドがないため、SchemaStore の dependabot-2.0.json（draft-07）を ajv で検証しました。

// vdep.mjs（npm i -D ajv@8 ajv-formats js-yaml）
import Ajv from "ajv";
import addFormats from "ajv-formats";
import * as yaml from "js-yaml";
import fs from "fs";

const schema = JSON.parse(fs.readFileSync("dependabot-2.0.json", "utf8"));
const ajv = new Ajv({ strict: false, allErrors: true });
addFormats(ajv);
const validate = ajv.compile(schema);
for (const f of process.argv.slice(2)) {
  const data = yaml.load(fs.readFileSync(f, "utf8"));
  if (validate(data)) console.log(`${f}: valid`);
  else {
    console.log(`${f}: invalid`);
    for (const e of validate.errors) console.log(`  ${e.instancePath || "/"} ${e.message}${e.params.allowedValues ? " " + JSON.stringify(e.params.allowedValues) : ""}${e.params.additionalProperty ? " (" + e.params.additionalProperty + ")" : ""}`);
  }
}

$ node vdep.mjs dbot/*.yml
dbot/01-weekly-group.yml: valid
dbot/02-devdeps.yml: valid
dbot/03-cooldown.yml: valid
dbot/04-ignore.yml: valid
dbot/05-docker-actions.yml: valid
dbot/06-major-separate.yml: valid
dbot/98-bad.yml: invalid
  /updates/0/schedule/interval must be equal to one of the allowed values ["daily","weekly","monthly","quarterly","semiannually","yearly","cron"]
  /updates/0 must match "then" schema
  /updates/0/cooldown must NOT have additional properties (days)
  /updates/0/groups/dev/dependency-type must be equal to one of the allowed values ["development","production"]
  /updates/0/open-pull-requests-limit must be integer
  /updates/0/schedule/interval must be equal to one of the allowed values ["daily","weekly","monthly","quarterly","semiannually","yearly","cron"]

完成形（full.yml）も valid でした。わざと間違えた 98-bad.yml の内容は次のとおりで、4つの間違いをすべて検出しています。

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "biweekly"          # 存在しない間隔
    open-pull-requests-limit: "10"  # 文字列（整数が正しい）
    cooldown:
      days: 3                       # default-days が正しい
    groups:
      dev:
        dependency-type: "dev"      # development が正しい

自動マージ用ワークフローも、SchemaStore の github-workflow.json で valid を確認しました。エディタ（VS Code の YAML 拡張など）は SchemaStore のスキーマを自動で使うので、保存前に同じ指摘が出ます。

公開直後のバージョンを待つ設計の考え方

npm などの公開レジストリでは、まれに「乗っ取られたアカウントから悪意あるバージョンが公開され、数時間〜数日で取り下げられる」ことがあります。自動更新ツールが公開直後のバージョンをすぐ PR にすると、その短い期間に取り込んでしまう可能性があります。公開から数日待つ設定は、問題のあるバージョンがレジストリやコミュニティで見つかって取り下げられる時間を確保するための仕組みです。

待つ設定とあわせて、次の対策を組み合わせると安心です。

自動マージの前提（CIとブランチ保護）

自動マージは「CI が通ったものだけマージされる」状態になって初めて安全に使えます。 次のチェックリストを満たしてから有効にしてください。

Renovate の automerge は、既定ではテストが通らない（または必須チェックがない）と自動マージしません。 テストがないリポジトリで自動マージさせたい場合は ignoreTests: true が必要ですが、上の前提を満たしてから使うのがおすすめです。platformAutomerge（GitHub のネイティブ auto-merge を使う設定）を有効にすると、PR 作成時にマージ予約が入るため automergeSchedule（自動マージする時間帯）は守られない点も公式ドキュメントに注意書きがあります。

よくある質問

Q. Dependabot と Renovate を両方使ってもよいですか？ A. 同じ依存に対して両方を動かすと、同じ更新の PR が二重にできます。セキュリティアラートだけ Dependabot、バージョン更新は Renovate、のように役割を分けるか、どちらか一方にします。

Q. Dependabot の open-pull-requests-limit は何に効きますか？ A. バージョン更新の PR を同時に開いておく上限です（既定は5）。groups でまとめた PR は1件として数えられるので、まとめると上限に当たりにくくなります。

Q. Renovate の設定はどこに置けばよいですか？ A. リポジトリ直下の renovate.json が基本です。.github/renovate.json や .renovaterc.json などにも置けます。複数リポジトリで共通化するなら、設定用リポジトリを作って extends で参照します。

Q. cooldown を入れるとセキュリティ修正も遅れますか？ A. Dependabot の cooldown はバージョン更新だけが対象で、セキュリティ更新（Dependabot security updates）には適用されません。Renovate では packageRules で脆弱性修正の扱いを分けて設定できます。

まとめ

• Dependabot は置くだけで動く手軽さ、Renovate は packageRules による細かい条件分けと自動マージが強み
• PR を減らす基本は「週1回」＋「メジャー以外をまとめる」（Dependabot は groups、Renovate は groupName）
• 公開直後を待つ設定は Dependabot の cooldown と Renovate の minimumReleaseAge、目安はパッチ3日・メジャー7〜14日
• 自動マージは CI・必須チェック・Allow auto-merge がそろってから、対象はパッチと devDependencies から始める
• 設定は renovate-config-validator と SchemaStore の JSON Schema で事前に検証できる。値のつづり違いは通ることがあるので Dashboard でも確認する
• Dependabot の ignore.versions は除外範囲、Renovate の allowedVersions は許可範囲と向きが逆

株式会社RJCでは、依存関係を安全に更新し続ける仕組みづくりを仲間と学び合っています。こうした知識を共有しながら、日々技術を磨いています。

株式会社RJC ― SI事業・SES事業・AI駆動開発。RJCは一緒に成長を楽しめる会社です。