Períodos de espera para versões de pacotes: configurações exatas, unidades e limites de aplicação

O que é

Situação em 25 de outubro de 2026. Um período de espera para versões adia sua adoção com base no momento de publicação. Antes da implantação, consulte novamente as referências correspondentes à versão do gerenciador de pacotes e a documentação atual das ferramentas de atualização; os valores padrão e as configurações aceitas mudam. Esses são controles de configuração, não evidências de que um pacote antigo é seguro.

Ferramenta	Configuração exata	Valor e escopo
npm	min-release-age	Número de dias; resolução de dependências
pnpm	minimumReleaseAge	Número de minutos em pnpm-workspace.yaml
uv	exclude-newer	Data e hora ou duração; momento do upload da distribuição para o registro
Renovate	minimumReleaseAge	String de duração; elegibilidade para atualização
Dependabot	cooldown.default-days	Dias; elegibilidade para atualização de versão

Por que importa

Um atraso na criação de pull requests, por si só, não restringe todas as instalações. Atualizações manuais e a resolução pelo gerenciador de pacotes precisam de políticas próprias. A documentação do Renovate alerta especificamente sobre dependências transitivas recém-selecionadas e recomenda configurar ambas as camadas. Uma programação de atualizações também é diferente: ela controla quando as verificações são executadas, não a idade de cada versão candidata.

Como aplicar

• Escolha e documente um intervalo de espera. Em uma política ilustrativa de uma semana, o npm usa min-release-age=7 em .npmrc; o pnpm usa minimumReleaseAge: 10080, calculado como 7 × 24 × 60 minutos. São exemplos de política, não um período de espera cuja segurança tenha sido medida. A opção before do npm aceita uma data e hora de corte absoluta e tem precedência sobre min-release-age dentro da mesma fonte de configuração.
• Nas versões do pnpm que oferecem essas opções, defina minimumReleaseAgeStrict: true e minimumReleaseAgeIgnoreMissingTime: false quando a política pretendida for rejeitar casos em que não seja possível verificar a idade. O comportamento não estrito documentado pode aceitar uma versão mais recente quando nenhuma atende ao requisito; a ausência de registros de data e hora também pode fazer a verificação ser ignorada. Revise as exceções de minimumReleaseAgeExclude.
• No uv, coloque exclude-newer = "1 week" em [tool.uv] no pyproject.toml, ou use a opção --exclude-newer. Durações usam um intervalo fixo de tempo decorrido; datas e horas permitem um corte absoluto. O filtro compara uploads individuais de distribuições e precisa dos metadados upload-time do registro. O corte registrado em uv.lock muda quando a resolução é executada novamente, não simplesmente com a passagem do tempo.
• No Renovate, configure minimumReleaseAge com uma duração, internalChecksFilter: "strict" e minimumReleaseAgeBehaviour: "timestamp-required". Examine os logs da ferramenta de atualização em busca de exceções: a documentação da integração com npm informa que ela tenta novamente sem --before quando um arquivo de lock existente causa uma falha ETARGET. Não presuma que todas as operações com arquivos de lock receberam a mesma proteção.
• Em cada entrada updates aplicável do Dependabot, configure cooldown com default-days; os parâmetros opcionais semver-major-days, semver-minor-days e semver-patch-days precisam de suporte do ecossistema. exclude tem precedência sobre include. Isso também abrange projetos pip por meio de package-ecosystem: "pip" no Dependabot; é uma configuração da ferramenta de atualização, não uma opção de linha de comando do pip.
• Verifique a política com uma resolução limpa e uma versão legítima que se saiba ser recente: registre a versão da ferramenta, a data e hora no registro, a configuração efetiva e a versão selecionada ou rejeitada. Verifique também uma dependência transitiva. Faça essa verificação sem credenciais de produção.

Armadilhas

A idade de um pacote não equivale a uma análise de malware, e exceções podem eliminar a restrição pretendida. Os períodos de espera do Dependabot não se aplicam a atualizações de segurança; o Renovate também ignora suas verificações de idade para essas atualizações. O npm emite um aviso e falha quando o corte bloqueia um audit fix. Revise correções urgentes individualmente e remova as exceções temporárias após o uso. Um período de espera não limpa um ambiente já comprometido.