Generator konfiguracji Renovate

Generator konfiguracji Renovate Bot

Generator konfiguracji Renovate tworzy gotowy plik renovate.json dla Twojego repozytorium. Wybierasz platformę, zakres aktualizacji, zasady automerge i harmonogram, a narzędzie składa poprawny JSON ze schematem.

Czym jest Renovate?

Renovate Bot to automat aktualizacji zależności: regularnie tworzy pull requesty z nowymi wersjami bibliotek, obrazów Docker i akcji GitHub. Konfiguracja spoczywa w pliku renovate.json w katalogu głównym repozytorium.

Jak wdrożyć wygenerowany plik?

Skopiuj JSON do pliku renovate.json w katalogu głównym repozytorium i zainstaluj aplikację Renovate (GitHub App lub samohostowana). Od następnego uruchomienia bot zacznie proponować aktualizacje zgodnie z konfiguracją. Plik można dalej rozbudowywać — schemat JSON waliduje składnię w edytorze.

Jak generator zamienia formularz na plik renovate.json

Generator nie łączy się ani z Twoim repozytorium, ani z API GitHuba czy GitLaba. Pracuje w całości w przeglądarce: wartości z pól formularza trafiają do jednego obiektu, ten jest zamieniany na tekst JSON i wyświetlany w polu wynikowym. Nic nie jest wysyłane na serwer, a plik istnieje wyłącznie u Ciebie do momentu, w którym sam go zapiszesz i wrzucisz do repozytorium.

Konfiguracja Renovate jest deklaratywna. Bot przy każdym uruchomieniu czyta plik od nowa i na tej podstawie buduje listę zadań: jakie menedżery pakietów przeszukać, które wersje uznać za dostępne i które pull requesty utworzyć. Kluczowa jest tablica reguł, nazywana packageRules. Renovate dopasowuje reguły do konkretnego pakietu i nakłada je na siebie, a reguły późniejsze mają pierwszeństwo nad wcześniejszymi. Dlatego kolejność wpisów w pliku ma znaczenie — jedna ogólna reguła na końcu potrafi nadpisać to, co ustawiłeś wcześniej dla wybranej grupy bibliotek.

Ważne jest też to, że część zachowań nie wynika z jednego pola, tylko z kombinacji ustawień. Automerge bez dodatkowego warunku działa globalnie, a automerge połączony z zakresem aktualizacji zamienia się w warunek wewnątrz reguły. Podobnie harmonogram: brak limitu oznacza po prostu brak pola ograniczającego, a tryb tygodniowy lub miesięczny dodaje wyrażenie czasu, według którego bot planuje pracę. Z tego powodu dwa różne zestawy pól mogą dać plik działający praktycznie tak samo, a ten sam plik może zachowywać się inaczej w zależności od tego, jak platforma uruchamia bota — jako aplikacja, pipeline czy bot samohostowany.

Przykład krok po kroku: od formularza do listy pull requestów

1. Przyjmijmy repozytorium aplikacji webowej, w którym Renovate wykrywa 148 zależności. W danym tygodniu bot znajduje 42 dostępne aktualizacje: 30 z nich to patch, 9 to minor, a 3 to major.
2. W generatorze wybierasz platformę GitHub, zakres konserwatywny bez major i automerge dla patch. Harmonogram zostawiasz bez limitu.
3. W wynikowym pliku automerge jest powiązany z typem aktualizacji patch. Renovate tworzy więc 42 pull requesty, ale tylko 30 z nich łączy samodzielnie, po przejściu testów.
4. Pozostałe 12 pull requestów, czyli 9 minor i 3 major, czeka na decyzję człowieka. To wciąż sporo pracy dla reviewera w jednym tygodniu.
5. Zmieniasz harmonogram na tygodniowy. Liczba wykrytych aktualizacji nie maleje, nadal jest to 42, ale bot rozkłada propozycje w czasie i natężenie pull requestów staje się przewidywalne.
6. Wariant alternatywny: włączasz automerge dla minor i patch. Automatycznie przechodzi wtedy 39 z 42 pull requestów (30 patch plus 9 minor), a ręcznie zostają tylko 3 aktualizacje major.

Tabela referencyjna: który wariant konfiguracji wybrać

Praktyczne wskazówki użycia

• Zacznij od wąskiego zakresu. Wygeneruj plik z automerge tylko dla patch, wdróż go i obserwuj przez kilka cykli, zanim rozszerzysz automatyzację na minor.
• Testuj na forku albo jednym repozytorium. Ta sama konfiguracja w dziesięciu repozytoriach naraz utrudnia ustalenie, które ustawienie powoduje niechciane pull requesty.
• Wersjonuj plik razem z kodem. Każda zmiana konfiguracji powinna przechodzić przez pull request, tak samo jak zmiana w kodzie — wtedy widać, kiedy i dlaczego zmieniło się zachowanie bota.
• Nie edytuj ręcznie pól, których nie rozumiesz. Po wygenerowaniu pliku sprawdź składnię walidacją schematu w edytorze; literówka w nazwie klucza zwykle nie daje błędu, tylko po cichu wyłącza ustawienie.
• Ustaw strefę czasową świadomie. Harmonogram tygodniowy lub miesięczny działa według strefy czasowej z konfiguracji, więc dopasuj ją do godzin pracy zespołu, a nie do serwera.

Czego generator nie uwzględnia

• Nie zna Twojego CI. Narzędzie nie sprawdza, czy pipeline w ogóle istnieje ani czy testy przechodzą. Automerge w pliku jest tylko warunkiem po stronie Renovate — faktyczne bezpieczeństwo zależy od tego, co blokuje merge w repozytorium.
• Nie weryfikuje nazw pakietów ani rejestrów. Nie sprawdzisz w generatorze, czy pakiet istnieje, czy nie został porzucony i czy pochodzi z zaufanego źródła. To zadanie dla przeglądu zależności, nie dla formularza.
• Nie zarządza sekretami i uprawnieniami. Tokeny, dostęp do rejestrów prywatnych i zakres uprawnień aplikacji ustawiasz poza plikiem, w konfiguracji platformy lub bota samohostowanego.
• Nie zna Twoich przepisów wewnętrznych ani podatkowych. Stawki, progi i limity zmieniają się co roku, a polityka licencyjna i bezpieczeństwa bywa ustalana odgórnie — takie rzeczy weryfikuj w aktualnych przepisach, w dokumentacji wewnętrznej lub u księgowego, zamiast opierać się na wygenerowanym pliku.

Najczęstsze pytania