Délais d’attente des versions de paquets : paramètres exacts, unités et périmètres d’application

Ce que c'est

État au 25 octobre 2026. Un délai d’attente reporte l’adoption d’une version en fonction de sa date de publication. Avant le déploiement, consulter à nouveau les références des gestionnaires de paquets correspondant à la version utilisée et la documentation actuelle des outils de mise à jour ; les valeurs par défaut et les paramètres pris en charge évoluent. Il s’agit de contrôles de configuration, pas d’une preuve qu’un paquet ancien est sûr.

Outil	Paramètre exact	Valeur et portée
npm	min-release-age	Nombre de jours ; résolution des dépendances
pnpm	minimumReleaseAge	Nombre de minutes dans pnpm-workspace.yaml
uv	exclude-newer	Horodatage ou durée ; date de téléversement de la distribution dans le registre
Renovate	minimumReleaseAge	Chaîne de durée ; admissibilité de la mise à jour
Dependabot	cooldown.default-days	Jours ; admissibilité des mises à jour de version

Pourquoi c'est important

Un délai appliqué à la création des pull requests ne contraint pas, à lui seul, toutes les installations. Les mises à jour manuelles et la résolution par le gestionnaire de paquets ont besoin de leur propre politique. La documentation de Renovate met expressément en garde contre les dépendances transitives nouvellement sélectionnées et recommande de configurer les deux niveaux. Un calendrier de mise à jour répond à une autre logique : il détermine quand les vérifications ont lieu, pas l’ancienneté de chaque version candidate.

Comment l'appliquer

• Choisir et documenter un délai d’attente. Pour une politique d’une semaine donnée à titre d’exemple, npm utilise min-release-age=7 dans .npmrc ; pnpm utilise minimumReleaseAge: 10080, soit 7 × 24 × 60 minutes. Ce sont des exemples de politique, pas un délai dont la sécurité aurait été mesurée. Le paramètre before de npm accepte une date limite absolue et prime sur min-release-age au sein d’une même source de configuration.
• Pour les versions de pnpm qui prennent ces paramètres en charge, définir minimumReleaseAgeStrict: true et minimumReleaseAgeIgnoreMissingTime: false si la politique prévue consiste à refuser les cas où l’ancienneté n’a pas pu être vérifiée. Le comportement non strict documenté peut accepter une version plus récente lorsqu’aucune ne satisfait au critère ; l’absence d’horodatage peut aussi entraîner l’omission du contrôle. Examiner les exceptions de minimumReleaseAgeExclude.
• Pour uv, placer exclude-newer = "1 week" sous [tool.uv] dans pyproject.toml, ou utiliser l’option --exclude-newer. Les durées correspondent à un temps écoulé fixe ; les horodatages permettent une date limite absolue. Le filtre compare les téléversements de chaque distribution et nécessite les métadonnées upload-time du registre. La date limite enregistrée dans uv.lock change lors d’une nouvelle résolution, pas simplement avec le passage du temps.
• Pour Renovate, configurer minimumReleaseAge avec une durée, internalChecksFilter: "strict" et minimumReleaseAgeBehaviour: "timestamp-required". Examiner les journaux de l’outil de mise à jour pour repérer les exceptions : son intégration npm indique qu’elle réessaie sans --before lorsqu’un fichier de verrouillage existant provoque un échec ETARGET. Ne pas supposer que toutes les opérations sur les fichiers de verrouillage ont bénéficié de la même protection.
• Dans chaque entrée Dependabot updates concernée, configurer cooldown avec default-days ; les paramètres facultatifs semver-major-days, semver-minor-days et semver-patch-days doivent être pris en charge par l’écosystème. exclude prime sur include. Cela couvre aussi les projets pip via package-ecosystem: "pip" de Dependabot ; il s’agit de la configuration de l’outil de mise à jour, pas d’une option de ligne de commande pip.
• Vérifier la politique avec une résolution propre et une version légitime récente connue : consigner la version de l’outil, l’horodatage du registre, la configuration effective et la version sélectionnée ou rejetée. Vérifier aussi une dépendance transitive. N’utiliser aucun identifiant de production pour ce contrôle.

Pièges

L’ancienneté ne constitue pas une analyse antimalware, et les exceptions peuvent supprimer la limite recherchée. Les délais de Dependabot ne s’appliquent pas aux mises à jour de sécurité ; Renovate contourne également ses contrôles d’ancienneté pour celles-ci. npm émet un avertissement et échoue lorsque sa date limite bloque un audit fix. Examiner les correctifs urgents au cas par cas et supprimer les exceptions temporaires après utilisation. Un délai d’attente ne nettoie pas un environnement déjà compromis.