Wartefristen für Paket-Releases: genaue Einstellungen, Einheiten und Grenzen der Durchsetzung

Worum es geht

Stand: 25. Oktober 2026. Eine Wartefrist für Releases verzögert deren Übernahme anhand des Veröffentlichungszeitpunkts. Vor der Einführung die Referenzen für die eingesetzte Paketmanager-Version und die aktuelle Dokumentation der Update-Werkzeuge erneut prüfen; Standardwerte und unterstützte Einstellungen ändern sich. Dies sind Konfigurationskontrollen und kein Nachweis dafür, dass ein älteres Paket sicher ist.

Werkzeug	Genaue Einstellung	Wert und Geltungsbereich
npm	min-release-age	Anzahl Tage; Auflösung von Abhängigkeiten
pnpm	minimumReleaseAge	Anzahl Minuten in pnpm-workspace.yaml
uv	exclude-newer	Zeitstempel oder Dauer; Upload-Zeitpunkt einer Distribution in der Registry
Renovate	minimumReleaseAge	Zeichenfolge mit einer Zeitdauer; Zulässigkeit von Updates
Dependabot	cooldown.default-days	Tage; Zulässigkeit von Versionsupdates

Warum es wichtig ist

Eine Verzögerung bei der Erstellung von Pull Requests beschränkt für sich genommen nicht jede Installation. Manuelle Updates und die Auflösung durch den Paketmanager benötigen eine eigene Richtlinie. Die Renovate-Dokumentation warnt ausdrücklich vor neu ausgewählten transitiven Abhängigkeiten und empfiehlt, beide Ebenen zu konfigurieren. Ein Zeitplan für Updates ist ebenfalls etwas anderes: Er steuert, wann Prüfungen laufen, nicht das Alter jedes Kandidaten.

So wird es angewendet

• Eine Wartefrist wählen und dokumentieren. Für eine beispielhafte Frist von einer Woche verwendet npm min-release-age=7 in .npmrc; pnpm verwendet minimumReleaseAge: 10080, berechnet als 7 × 24 × 60 Minuten. Dies sind Beispiele für Richtlinien, keine durch Messungen als sicher bestimmte Wartefrist. Die npm-Einstellung before akzeptiert einen absoluten Stichtag und hat innerhalb derselben Konfigurationsquelle Vorrang vor min-release-age.
• Bei pnpm-Versionen, die diese Einstellungen unterstützen, minimumReleaseAgeStrict: true und minimumReleaseAgeIgnoreMissingTime: false setzen, wenn die Richtlinie Versionen ablehnen soll, deren Alter sich nicht erfolgreich prüfen lässt. Das dokumentierte Verhalten ohne strikte Prüfung kann eine jüngere Version akzeptieren, wenn keine Version die Anforderungen erfüllt; bei fehlenden Zeitstempeln kann die Prüfung ebenfalls entfallen. Ausnahmen unter minimumReleaseAgeExclude prüfen.
• Für uv in pyproject.toml unter [tool.uv] den Eintrag exclude-newer = "1 week" setzen oder die Option --exclude-newer verwenden. Zeitdauern beziehen sich auf eine feste verstrichene Zeitspanne; Zeitstempel ermöglichen einen absoluten Stichtag. Der Filter vergleicht einzelne Uploads von Distributionen und benötigt die Registry-Metadaten upload-time. Der in uv.lock festgehaltene Stichtag ändert sich bei einer erneuten Auflösung und nicht allein dadurch, dass Zeit vergeht.
• Für Renovate minimumReleaseAge mit einer Zeitdauer sowie internalChecksFilter: "strict" und minimumReleaseAgeBehaviour: "timestamp-required" konfigurieren. Die Logs des Update-Werkzeugs auf Ausnahmen prüfen: Für die npm-Integration ist dokumentiert, dass nach einem durch eine vorhandene Lock-Datei verursachten ETARGET-Fehler ein erneuter Versuch ohne --before erfolgt. Nicht davon ausgehen, dass jede Operation an einer Lock-Datei denselben Schutz erhalten hat.
• In jedem zutreffenden Dependabot-Eintrag unter updates die Einstellung cooldown mit default-days konfigurieren; die optionalen Einstellungen semver-major-days, semver-minor-days und semver-patch-days erfordern Unterstützung durch das jeweilige Ökosystem. exclude hat Vorrang vor include. Über Dependabots package-ecosystem: "pip" gilt dies auch für pip-Projekte; es handelt sich um eine Konfiguration des Update-Werkzeugs, nicht um eine Kommandozeilenoption von pip.
• Die Richtlinie mit einer frischen Auflösung und einem bekannten, kürzlich veröffentlichten legitimen Release überprüfen: Werkzeugversion, Registry-Zeitstempel, wirksame Konfiguration und die ausgewählte oder abgelehnte Version festhalten. Auch eine transitive Abhängigkeit prüfen. Für die Prüfung keine Produktionszugangsdaten verwenden.

Stolpersteine

Das Alter ersetzt keinen Schadsoftware-Scan, und Ausnahmen können die beabsichtigte Grenze aufheben. Dependabot-Wartefristen nehmen Sicherheitsupdates aus; auch Renovate umgeht bei Sicherheitsupdates seine Altersprüfungen. npm gibt eine Warnung aus und bricht ab, wenn sein Stichtag ein audit fix blockiert. Dringende Korrekturen einzeln prüfen und temporäre Ausnahmen nach Gebrauch entfernen. Eine Wartefrist bereinigt keine bereits kompromittierte Umgebung.