Dependabot skill

O Claude escreve o dependabot.yml do seu repositório, agrupa as atualizações e liga os alertas de segurança, pros pacotes não ficarem velhos nem vulneráveis.

por GitHubPublicada pela própria empresa

instalações: 4.400
estrelas no GitHub: 40,4 mil
No skills.sh desde: março de 2026
Licença: MIT

Atualizada no GitHub em 26 de outubro de 2026. Dados conferidos em 26 de outubro de 2026, no skills.sh e no GitHub.

GitHub
dependabot
O Claude escreve o dependabot.yml do seu repositório, agrupa as atualizações e liga os alertas de segurança, pros pacotes não ficarem velhos nem vulneráveis.OficialAuditada4.400 instalações, grátis

O que ela faz

Ensina o Claude a configurar o Dependabot, a ferramenta do GitHub que avisa quando um pacote tem falha conhecida e abre pull request pra atualizar. Ele varre o repositório atrás dos arquivos de dependência de mais de 20 ecossistemas (npm, pnpm, pip, uv, Docker, GitHub Actions, Go, Composer e outros) e monta o .github/dependabot.yml.

Pra não virar enxurrada de pull request, agrupa as atualizações por tipo, por nome ou pelo mesmo pacote em várias pastas, junta ecossistemas diferentes num PR só e define dia e hora, espera pra versão recém-lançada, rótulos, mensagem de commit e o que ignorar.

Também explica como ligar os alertas e as correções de segurança nas configurações do repositório, os comandos que dá pra escrever como comentário no PR (@dependabot rebase, ignore this major version) e como apontar pra um registro privado de pacotes.

Nas palavras de quem fez

Comprehensive guide for configuring and managing GitHub Dependabot. Use this skill when users ask about creating or optimizing dependabot.yml files, managing…

GitHub, no SKILL.md

Quando usar

Ligar a atualização automática de pacotes num projeto novo
Diminuir a quantidade de PRs do Dependabot num monorepo
Receber só as correções de segurança, sem atualização de versão
Esperar alguns dias antes de aceitar uma versão recém-lançada
Ignorar uma atualização grande que quebra o projeto

Depois de instalar, é só pedir assim

Usa a skill do dependabot e cria o dependabot.yml do meu projeto, com atualização toda segunda às 9h
Junta as atualizações de desenvolvimento num PR só e deixa as de produção separadas
Configura pra só abrir PR de correção de segurança

Segurança

Gen Agent Trust Hub, Socket e Snyk leem o código da skill atrás de comando perigoso, dado vazando e instrução escondida. Alerta não é reprovação: quer dizer que vale ler o que a skill faz antes de instalar.

Gen Agent Trust HubPassou
SocketPassou
SnykPassou

Perguntas

Como instalar a Dependabot no Claude Code?

Toca em Levar, aqui nesta página, e deixa seu nome, e-mail e WhatsApp (é uma vez só). Aparece uma frase pronta: cola ela no Claude Code, que ele mesmo instala a Dependabot, e a skill passa a valer na próxima conversa. A mesma frase serve no Codex. Se preferir fazer na mão, o passo a passo está em como instalar skills no Claude Code.

Precisa de quê pra funcionar?

Do projeto num repositório do GitHub. O Dependabot é do próprio GitHub e lê um único arquivo, o .github/dependabot.yml da branch principal; os alertas e as correções de segurança se ligam em Settings, Advanced Security.

Ela atualiza os pacotes sozinha?

Não. Ela escreve e ajusta a configuração; quem abre os pull requests é o Dependabot no GitHub, e você revisa e aprova. A varredura antes do commit que ela cita depende do plugin de segurança do GitHub Copilot.

Roda no Codex e no Antigravity?

Sim. É um guia de configuração em texto, sem script, então funciona em qualquer agente que lê skills.

Levar essa skill

1x dependabotR$ 0,00

TotalR$ 0,00

Levar precisa do JavaScript ligado. O código da skill está no GitHub: github.com/github/awesome-copilot

Aprenda a usar

O que é o Claude Code (Claude CLI) e como começar
O que é o Claude Code (Claude CLI), pra que serve pra quem não programa, o que ele pede pra rodar e como se compara ao Codex, ao Antigravity e ao Cursor.