GitHub、1年動きのないリポジトリのDependabotアラートを12月8日から停止。復元は可能

📖 この記事で分かること

• Dependabotアラートが無効になる条件と開始日
• 対象になるプランと、対象外になる環境
• 無効化されたアラートを元に戻す2つの経路
• 12月8日までに確かめておく点

💡 知っておきたい用語

• Dependabotアラート:リポジトリが依存しているパッケージに既知の脆弱性が見つかったとき、GitHubが知らせる機能です。

最終更新日: 2026年11月12日

▶ 公式ページ

• Dependabot alerts will pause on inactive repositories(GitHub Changelog)

1年間動きのないリポジトリでアラートが止まる

この記事のポイント

• GitHubは2026年11月10日、過去1年間に活動のないリポジトリの大半でDependabotアラートを12月8日から無効にすると発表しました(2026年11月時点)。
• 既存のアラートは削除されずアーカイブされ、プッシュか設定からの有効化で復元されます。
• Dependabotアラートを有効にするセキュリティ構成が強制されているリポジトリは対象外です。

GitHubは2026年11月10日、過去1年間に活動のないリポジトリの大半で、Dependabotアラートを12月8日から無効にすると発表しました。更新を止めたまま使い続けているリポジトリを持つチームは、12月8日以降、そのリポジトリでアラートが届く前提を置けなくなります。

背景としてGitHubは、脆弱性の発見とアラートの量が急速に増えていることを挙げています。今回の変更について同社は、Dependabotの速さと信頼性を保つためのものだと説明しています。

対象範囲と、対象から外れる条件

対象はgithub.comの全プランと、データレジデンシー付きのGitHub Enterprise Cloudです。GitHub Enterprise Serverには適用されません。

GitHubの変更履歴に書かれた条件を整理すると、次のとおりです。

• 無効化の対象: 過去1年間に活動のないリポジトリの「大半」(原文は most)
• 適用される環境: github.comの全プラン、データレジデンシー付きのGitHub Enterprise Cloud
• 適用されない環境: GitHub Enterprise Server
• 無効化されないリポジトリ: Dependabotアラートを有効にするセキュリティ構成が強制されているもの

無料プランか有料プランかで扱いは変わりません。分かれ目は、リポジトリに動きがあるかどうかと、アラートを有効にする構成が強制されているかどうかの2点です。

アラートは消えず、プッシュか設定で戻る

無効化されても、既存のアラートは削除されません。GitHubはアラートをアーカイブとして保持し、いつでも復元できるとしています。

元に戻る経路は2つあります。1つはプッシュで、GitHubは「リポジトリへのプッシュがあれば、Dependabotアラートは自動で再び有効になる」と説明しています。もう1つは設定からの有効化です。どちらの場合もアーカイブ済みのアラートが復元され、1年の計測は最初からやり直しになります。

開発が続いているリポジトリは、プッシュのたびに計測がやり直されるため、この変更の影響を受けません。影響が出るのは、完成済みのライブラリや社内ツールのように、コードは変えていないが動かし続けているリポジトリです。こうしたリポジトリでは、無効化された後、再び有効にするまでDependabotアラートに頼れません。

該当するリポジトリを持つ開発者や管理者が12月8日までに確かめる点は、1年以上プッシュのないリポジトリのうち、アラートを受け取り続けたいものがどれかです。組織で管理している場合は、Dependabotアラートを有効にするセキュリティ構成がそれらに強制されているかどうかを見れば、対象外になるかを判断できます。

編集部の見方

編集部は、この変更で注意が要るのはデータの消失ではなく、止まったことに気づかないまま運用が続くことだと見ています。

• 根拠1: 既存のアラートはアーカイブされ、プッシュでも設定からの有効化でも復元されます。失うものがないため、戻す判断はいつでも取れます。
• 根拠2: 対象はgithub.comの全プランに及びます。契約の種類では外れないので、動きのないリポジトリを持つ利用者は誰でも該当しえます。
• 根拠3: 自動で再び有効になるきっかけはプッシュです。コードを変えていないリポジトリほど、そのきっかけが生まれません。

該当するリポジトリを組織として守りたい場合、GitHubが示している対象外の条件は、セキュリティ構成の強制だけです。

この見方が変わる条件は、監視したいリポジトリにすでにその構成が強制されている場合です。そのときは無効化の対象にならないため、追加の確認は要りません。

よくある質問

Q: 無効化されると、これまでのアラートは消えますか?

A: 消えません。GitHubは、既存のアラートは削除ではなくアーカイブされ、いつでも復元できるとしています。

Q: GitHub Enterprise Serverを使っている場合も対象ですか?

A: 対象外です。適用されるのはgithub.comの全プランと、データレジデンシー付きのGitHub Enterprise Cloudです。

Q: 一度戻したアラートは、また無効になりますか?

A: プッシュまたは設定からの有効化で復元されると、1年の計測が最初からやり直しになります。その後も活動のない状態が1年続けば、再び条件に当てはまります。

まとめ

GitHubは2026年12月8日から、過去1年間に活動のないリポジトリの大半でDependabotアラートを無効にします。アラートはアーカイブとして残り、プッシュか設定からの有効化で復元されます。更新を止めたまま動かしているリポジトリがあるチームは、開始日までに、該当するリポジトリと、強制されたセキュリティ構成があるかどうかを確かめておけます。

【用語解説】

• セキュリティ構成の強制: Dependabotアラートなどのセキュリティ機能の設定を、リポジトリ側で変更できない形で適用すること。今回の発表では、アラートを有効にする構成が強制されているリポジトリは無効化されないとされています。
• データレジデンシー: データを保管する地域を指定できる提供形態。今回の変更は、この形態のGitHub Enterprise Cloudにも適用されます。
• GitHub Enterprise Server: 自社で管理する環境で動かすGitHub。今回の変更は適用されません。

引用元:

• [1] Dependabot alerts will pause on inactive repositories(GitHub Changelog)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。