# À propos du fichier dependabot.yml

Contrôle les dependabot.yml mises à jour des dépendances automatisées dans votre référentiel.

Le fichier `dependabot.yml` est un fichier de configuration facultatif qui vous donne un contrôle précis sur la façon dont Dependabot surveille et met à jour les dépendances (principalement les *mises à jour de version*, mais aussi les *mises à jour de sécurité*) dans votre dépôt.

`dependabot.yml` Sans un fichier, Dependabot peut toujours créer des mises à jour de sécurité pour les dépendances vulnérables si vous avez activé Dependabot security updates dans les paramètres de votre référentiel. Toutefois, vous ne recevrez pas de mises à jour de version automatisées ou n’avez aucun contrôle sur les planifications de mise à jour et d’autres options de configuration.

Le fichier utilise la `dependabot.yml` syntaxe YAML. Si vous débutez avec YAML et que vous souhaitez en savoir plus, consultez [Découvrir YAML en cinq minutes](https://learnxinyminutes.com/yaml/).

> \[!NOTE]
> Dependabot alerts sont configurés sous l’onglet « Paramètres » du référentiel ou de l’organisation, et non dans le `dependabot.yml` fichier, consultez [Configuration d’alertes Dependabot](/fr/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts).

## Ce que fait le `dependabot.yml` fichier

Le `dependabot.yml` fichier contrôle la façon dont Dependabot les mises à jour sont effectuées sur vos dépendances. Avec ce fichier, vous pouvez :

### Pour les mises à jour de version

* Activer les mises à jour de version automatisées
* Spécifier les écosystèmes et répertoires de package à surveiller
* Définir des planifications de mise à jour
* Personnalisez les étiquettes, les personnes assignées, les relecteurs et les messages de commit des pull requests.
* Contrôler les dépendances à mettre à jour ou ignorer
* Configurer l’authentification pour les registres privés

### Pour les mises à jour de sécurité

* Personnaliser les pull requests de mise à jour de sécurité avec des étiquettes, des responsables et des examinateurs.
* Définir des branches cibles pour les mises à jour de sécurité
* Configurer l’authentification de Registre privé
* Mettre des limites sur les pull requests ouvertes

## Où stocker le `dependabot.yml` fichier

Vous devez stocker ce fichier dans le `.github` répertoire de votre référentiel dans la branche par défaut (généralement `main`), à `.github/dependabot.yml` ou `.github/dependabot.yaml`.

## Fonctionnement du `dependabot.yml` fichier

Lorsque vous ajoutez ou mettez à jour le `dependabot.yml` fichier dans votre référentiel, Dependabot lit la configuration et commence à surveiller les écosystèmes de package spécifiés en fonction de vos planifications définies. Lorsque Dependabot trouve des mises à jour disponibles, il crée des pull requests avec les modifications de dépendance, en suivant les règles de personnalisation que vous avez spécifiées dans le fichier de configuration.

Le fichier de configuration nécessite les clés suivantes pour chaque écosystème de packages à surveiller.

* **`version`**: champ de niveau supérieur qui spécifie la version de la syntaxe de configuration de Dependabot.
* **`updates`**: section de niveau supérieur dans laquelle vous définissez chaque écosystème de packages pour surveiller les mises à jour.
* **`package-ecosystem`**: défini sous `updates`, spécifie le gestionnaire de package à mettre à jour (par exemple, npm, pip ou Docker).
* **`directories` ou `directory`**: Défini sous chaque `package-ecosystem` entrée, spécifie l’emplacement des fichiers de définition de manifeste ou de dépendance.
* **`schedule.interval`**: défini sous chaque `package-ecosystem` entrée, définit la fréquence à laquelle rechercher les mises à jour de version (`daily`ou `weekly``monthly`).

## Exemple de base

Voici un fichier minimal `dependabot.yml` qui surveille quotidiennement les dépendances npm :

```yaml copy
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "daily"
```

## Étape suivante

* Configurer votre référentiel afin que Dependabot met automatiquement à jour les packages que vous utilisez, consultez [Configuration de mises à jour de version Dependabot](/fr/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates)