Períodos de espera para versiones de paquetes: ajustes exactos, unidades y límites de aplicación

Qué es

Estado al 25 de octubre de 2026. Un período de espera retrasa la adopción de una versión en función de su fecha de publicación. Antes de implantarlo, volver a consultar las referencias de los gestores de paquetes correspondientes a las versiones utilizadas y la documentación actual de las herramientas de actualización; los valores predeterminados y los ajustes admitidos cambian. Estos controles de configuración no demuestran que un paquete sea seguro por tener cierta antigüedad.

Herramienta	Ajuste exacto	Valor y alcance
npm	min-release-age	Número de días; resolución de dependencias
pnpm	minimumReleaseAge	Número de minutos en pnpm-workspace.yaml
uv	exclude-newer	Marca de tiempo o duración; fecha de carga de la distribución en el registro
Renovate	minimumReleaseAge	Cadena de duración; aptitud para la actualización
Dependabot	cooldown.default-days	Días; aptitud para la actualización de versiones

Por qué importa

Retrasar la creación de un pull request no restringe por sí solo todas las instalaciones. Las actualizaciones manuales y la resolución del gestor de paquetes necesitan su propia política. La documentación de Renovate advierte específicamente sobre las nuevas dependencias transitivas seleccionadas y recomienda configurar ambas capas. Una programación de actualizaciones también es distinta: controla cuándo se ejecutan las comprobaciones, no la antigüedad de cada versión candidata.

Cómo aplicarlo

• Elegir y documentar un intervalo de espera. Como ejemplo de una política de una semana, npm utiliza min-release-age=7 en .npmrc; pnpm utiliza minimumReleaseAge: 10080, calculado como 7 × 24 × 60 minutos. Son ejemplos de política, no un período de espera cuya seguridad se haya medido. En npm, before acepta una fecha límite absoluta y tiene prioridad sobre min-release-age dentro de la misma fuente de configuración.
• En las versiones de pnpm que los admitan, establecer minimumReleaseAgeStrict: true y minimumReleaseAgeIgnoreMissingTime: false si la política prevista es rechazar las versiones cuya antigüedad no se haya podido comprobar. El comportamiento no estricto documentado puede aceptar una versión más reciente cuando ninguna cumple los requisitos; la ausencia de marcas de tiempo también puede hacer que se omita la comprobación. Revisar las excepciones de minimumReleaseAgeExclude.
• Para uv, añadir exclude-newer = "1 week" bajo [tool.uv] en pyproject.toml, o utilizar la opción --exclude-newer. Las duraciones se basan en un tiempo transcurrido fijo; las marcas de tiempo permiten establecer una fecha límite absoluta. El filtro compara las cargas individuales de distribuciones y necesita los metadatos upload-time del registro. La fecha límite registrada en uv.lock cambia cuando se vuelve a ejecutar la resolución, no simplemente cuando pasa el tiempo.
• Para Renovate, configurar minimumReleaseAge con una duración, internalChecksFilter: "strict" y minimumReleaseAgeBehaviour: "timestamp-required". Inspeccionar los registros de la herramienta de actualización en busca de excepciones: su integración con npm documenta que vuelve a intentarlo sin --before cuando un archivo de bloqueo existente provoca un error ETARGET. No suponer que todas las operaciones sobre archivos de bloqueo recibieron la misma protección.
• En cada entrada updates de Dependabot que corresponda, configurar cooldown con default-days; los ajustes opcionales semver-major-days, semver-minor-days y semver-patch-days requieren compatibilidad con el ecosistema. exclude tiene prioridad sobre include. Esto también abarca los proyectos de pip mediante package-ecosystem: "pip" de Dependabot; es una configuración de la herramienta de actualización, no una opción de la línea de comandos de pip.
• Verificar la política con una resolución limpia y una versión legítima reciente conocida: registrar la versión de la herramienta, la marca de tiempo del registro, la configuración efectiva y la versión seleccionada o rechazada. Comprobar también una dependencia transitiva. Realizar la comprobación sin credenciales de producción.

Trampas

La antigüedad no es un análisis de malware, y las excepciones pueden eliminar la restricción prevista. Los períodos de espera de Dependabot excluyen las actualizaciones de seguridad; Renovate también omite sus comprobaciones de antigüedad para esas actualizaciones. npm emite una advertencia y falla cuando su fecha límite bloquea un audit fix. Revisar individualmente las correcciones urgentes y eliminar las excepciones temporales después de utilizarlas. Un período de espera no limpia un entorno comprometido previamente.