「セキュリティアラートが赤いバッジで表示されているけれど、とりあえず閉じてしまっている……」
そんな経験はありませんか？
忙しい現場で、日々流れてくる脆弱性通知。一つひとつ手動で確認して修正するのは、確かに骨が折れる作業です。しかし、そこをサボることは「家の鍵をかけずに外出しているのと同じ」。いつか大きな代償を払うことになります。
今日は、GitHubの最強の守護神「Dependabot」を使い倒し、脆弱性を自動検知・自動修正する「眠れるエンジニアのための最強の守り」を構築しましょう。これをマスターすれば、あなたのリポジトリは24時間体制のセキュリティチームを雇っているのと同じ状態になります。
—
1. Dependabotとは何か？：あなたの代わりに戦う番人
Dependabotは、リポジトリ内の依存関係（`package.json`や`go.mod`など）をスキャンし、古いバージョンや脆弱性が見つかった瞬間に「これ、アップデートできるよ！」と教えてくれるツールです。
単に通知するだけではありません。自動的にプルリクエスト（PR）を作成し、時には修正まで完了させてくれるのが最大の魅力です。
2. まずはここから：Dependabotの有効化
GUIでポチポチ設定するのも良いですが、我々プロは設定をコードとして管理します。リポジトリのルートに `.github/dependabot.yml` を作成しましょう。
.github/dependabot.yml
version: 2
updates:
- package-ecosystem: “npm” # JavaScript/TypeScriptプロジェクトの場合
directory: “/” # プロジェクトのルートを指定
schedule:
interval: “daily” # 毎日チェックを実行
- package-ecosystem: “github-actions” # GitHub Actionsの脆弱性も監視
directory: “/”
schedule:
interval: “weekly” # Actionsは週次で十分
これだけで、GitHubはあなたのプロジェクトの依存関係を監視し始めます。
3. セキュリティタブの「正しい読み方」
GitHubの「Security」タブを見てください。ここがあなたの戦場です。
- Dependabot alerts: 脆弱性が発見されたライブラリの一覧。
- Dependabot security updates: 自動修正PRが作成されている状態。
- Critical / High: このラベルが付いたものは「即死級」です。最優先で対応しましょう。
「Medium」以下のアラートが大量に出ている場合、一度にすべて修正しようとせず、自動PRを活用して「テストがパスするかどうか」を確認しながら少しずつ取り込むのがコツです。
4. 現場で震えるほど役立つ：緊急対応フロー
重大な脆弱性（Critical）が見つかったとき、パニックになってはいけません。以下のフローを叩き込んでおいてください。
1. 自動PRを確認: Dependabotが作成したPRへ飛ぶ。
2. テスト結果を信じる: CIがグリーンなら、基本的にはそのままマージしてOK（ただし、リリース前には必ずローカルで動作確認を）。
3. マージの判断: テストが落ちる場合は、依存関係の破壊的な変更（Breaking Change）が起きています。この時だけは手動で調査が必要です。
5. 自動PR承認プロセスの運用（ここが差のつくポイント！）
毎日のように届くPRをいちいち手動でマージしていては時間が足りません。信頼できるテストスイートがあるなら、「自動マージ」を組み合わせるのが最強です。
`dependabot-preview` ではなく、現在はGitHub公式の [Auto-merge](https://docs.github.com/en/code-security/dependabot/working-with-dependabot/managing-pull-requests-for-dependency-updates#enabling-auto-merge-on-a-pull-request) 機能を使うのがベストです。
- 手順:
1. リポジトリ設定で「Allow auto-merge」をONにする。
2. CI（GitHub Actions）で、テストが必ず通るように構築する。
3. DependabotのPRに対して「Enable auto-merge」をポチる。
これで、あなたのテストをパスする安全なアップデートは、寝ている間に勝手にマージされるようになります。
—
先輩からのアドバイス：完璧を求めない勇気
最後に一つだけ。「依存関係の更新は、100%安全ではない」ということを忘れないでください。
自動化を進めることは大切ですが、同時に「異常を検知したときにすぐ切り戻せる（ロールバックできる）仕組み」があることが前提です。脆弱性に怯えるのではなく、「いつでも安全にアップデートできるリポジトリの状態」を維持することこそが、真のDevOpsエンジニアの仕事です。
まずは `.github/dependabot.yml` を作成することから始めてみてください。あなたのリポジトリが、今日から少しだけ「賢く、強く」なるはずです。
何か詰まったら、いつでも聞いてくださいね。応援しています！