Задержка внедрения релизов пакетов: точные настройки, единицы измерения и границы действия

Что это

Состояние на 25 октября 2026 года. Период ожидания после выпуска откладывает внедрение релиза с учётом времени его публикации. Перед внедрением повторно изучите справочники для выбранных версий пакетных менеджеров и актуальную документацию инструментов обновления; значения по умолчанию и поддерживаемые настройки меняются. Эти настройки задают ограничения, но не доказывают безопасность пакета, выпущенного достаточно давно.

Инструмент	Точная настройка	Значение и область действия
npm	min-release-age	Число дней; разрешение зависимостей
pnpm	minimumReleaseAge	Число минут в pnpm-workspace.yaml
uv	exclude-newer	Временная метка или длительность; время загрузки дистрибутива в реестр
Renovate	minimumReleaseAge	Строка длительности; допустимость обновления
Dependabot	cooldown.default-days	Дни; допустимость обновления версий

Почему это важно

Задержка создания pull request сама по себе не ограничивает каждую установку. Для ручных обновлений и разрешения зависимостей пакетным менеджером нужна собственная политика. Документация Renovate особо предупреждает о вновь выбранных транзитивных зависимостях и рекомендует настраивать оба уровня. Расписание обновлений — другой механизм: оно определяет, когда выполняются проверки, а не возраст каждого кандидата.

Как применять

• Выберите и задокументируйте период ожидания. Для примера, при недельном ожидании npm использует min-release-age=7 в .npmrc, а pnpm — minimumReleaseAge: 10080, что вычисляется как 7 × 24 × 60 минут. Это примеры политики, а не экспериментально установленный безопасный срок ожидания. Параметр npm before принимает абсолютную границу по времени и имеет приоритет над min-release-age в пределах одного источника конфигурации.
• В версиях pnpm, которые поддерживают эти параметры, задайте minimumReleaseAgeStrict: true и minimumReleaseAgeIgnoreMissingTime: false, если политика должна отклонять версии, для которых проверку возраста нельзя успешно завершить. Согласно документации, нестрогий режим может принять более свежую версию, если подходящих нет; отсутствие временных меток также может привести к пропуску проверки. Проверьте исключения minimumReleaseAgeExclude.
• Для uv укажите exclude-newer = "1 week" в разделе [tool.uv] файла pyproject.toml или используйте параметр --exclude-newer. Длительность задаёт фиксированный промежуток прошедшего времени; временная метка позволяет задать абсолютную границу. Фильтр сравнивает время загрузки каждого отдельного дистрибутива и требует метаданных upload-time от реестра. Граница, записанная в uv.lock, меняется при повторном разрешении зависимостей, а не просто с течением времени.
• Для Renovate настройте minimumReleaseAge со значением длительности, internalChecksFilter: "strict" и minimumReleaseAgeBehaviour: "timestamp-required". Ищите исключения в журналах инструмента обновления: в документации его интеграции с npm описан повторный запуск без --before, если существующий lock-файл вызывает ошибку ETARGET. Не считайте, что все операции с lock-файлом получили одинаковую защиту.
• В каждой подходящей записи Dependabot updates настройте cooldown с параметром default-days; необязательные semver-major-days, semver-minor-days и semver-patch-days требуют поддержки со стороны экосистемы. exclude имеет приоритет над include. Это распространяется и на проекты pip через настройку Dependabot package-ecosystem: "pip"; речь о конфигурации инструмента обновления, а не о флаге командной строки pip.
• Проверьте политику, выполнив разрешение зависимостей с чистого состояния и используя известный свежий легитимный релиз: зафиксируйте версию инструмента, временную метку реестра, фактически применённую конфигурацию и выбранную или отклонённую версию. Проверьте также транзитивную зависимость. Проводите проверку без учётных данных рабочей среды.

Подводные камни

Возраст пакета не заменяет проверку на вредоносный код, а исключения могут отменить задуманные ограничения. Периоды ожидания Dependabot не распространяются на обновления безопасности; Renovate также пропускает для них проверки возраста. npm выдаёт предупреждение и завершает операцию с ошибкой, если граница по времени блокирует audit fix. Рассматривайте срочные исправления отдельно и удаляйте временные исключения после использования. Период ожидания не очищает ранее скомпрометированное окружение.