サプライチェーンアタック対策とdependabot活用 | おそらくはそれさえも平凡な日々

blogged.

サプライチェーン攻撃対策としてDependabotでcooldown(default-days:7)とCI検証、fork同等権限で安全に更新する方法を解説。

cooldownは最低限の自衛だけど、開発者の手元でうっかり更新されたら終わりなのがサプライチェーンの闇