GitHub bersiap mengubah cara Dependabot memantau proyek lawas di platformnya. Mulai 8 Desember 2026, layanan pemindai kerentanan dependensi tersebut akan otomatis dinonaktifkan pada sebagian besar repositori publik maupun privat yang tidak mencatat aktivitas apa pun selama satu tahun terakhir.
Pengumuman yang dirilis melalui GitHub Changelog pada 10 November 2026 ini menandai pergeseran penting dalam pengelolaan keamanan rantai pasok perangkat lunak open source. GitHub menjelaskan bahwa pertumbuhan eksponensial dalam penemuan kerentanan dan lonjakan volume alert harian menjadi alasan utama di balik keputusan ini. Dengan menghentikan siklus pemindaian pada jutaan repositori yang terbengkalai, GitHub berupaya menjaga performa infrastruktur Dependabot tetap responsif dan andal bagi proyek-proyek yang aktif dikembangkan.
Pembedaan Antara Mengarsipkan dan Menghapus
Langkah penonaktifan ini tidak menghapus rekam jejak kerentanan yang sudah terdeteksi sebelumnya. GitHub menegaskan bahwa seluruh Dependabot alerts yang ada pada repositori terdampak akan dipindahkan ke status arsip, bukan dihapus permanen.
Apabila pemilik proyek atau kolaborator ingin mengaktifkan kembali pemantauan, mekanismenya dibuat tanpa hambatan birokrasi. Cukup dengan melakukan push commit baru ke branch mana pun, membuat tag Git baru, atau menyalakan kembali toggle Dependabot alerts melalui menu pengaturan repositori. Begitu aktivitas tersebut terdeteksi sistem, seluruh alert yang sebelumnya diarsipkan akan langsung dipulihkan ke daftar aktif, dan hitungan mundur masa tenggang 365 hari akan dimulai ulang dari nol.
Skema pengarsipan ini memberi kepastian bagi pengembang yang mengelola pustaka stabil. Banyak modul utilitas atau skrip otomasi internal sengaja dibiarkan tanpa pembaruan selama berbulan-bulan karena kodenya sudah matang dan tidak membutuhkan penambahan fitur. Dalam skenario tersebut, maintainer tetap memiliki akses ke riwayat temuan lama tanpa harus mengonfigurasi ulang repositori dari awal.
Tiga Kriteria yang Dihitung Sebagai Aktivitas
GitHub menetapkan batasan yang sangat spesifik mengenai apa yang diakui sebagai "aktivitas" untuk mencegah repositori masuk ke daftar jeda pemantauan. Kriteria tersebut meliputi:
1. Melakukan push kode ke branch mana pun atau menerbitkan Git tag baru. 2. Pembuatan repositori baru sejak awal. 3. Pengaktifan manual fitur Dependabot alerts melalui antarmuka atau API.
Artinya, aktivitas non-kode seperti membuka tiket issues, menulis komentar di diskusi, atau meninjau pull request tanpa melakukan commit tidak dihitung sebagai interaksi yang memperpanjang masa aktif repositori. Pengembang yang ingin menjaga repositori referensi tetap terpantau harus memastikan setidaknya ada satu interaksi Git nyata atau perubahan setelan keamanan dalam kurun 12 bulan.
Pengecualian Organisasi dan Kontrol Terpusat
Kebijakan pemadaman otomatis ini tidak berlaku membabi buta ke seluruh ekosistem GitHub. Repositori yang berada di bawah tata kelola keamanan ketat mendapatkan pengecualian khusus, antara lain:
- Repositori yang menerapkan *enforced security configuration* di tingkat organisasi, di mana aturan keamanan mewajibkan Dependabot alerts tetap menyala. - Repositori di lingkungan enterprise yang kebijakannya mengunci kendali administrator repositori lokal agar tidak bisa mematikan alert secara sepihak. - Pengguna GitHub Enterprise Server (GHES) di infrastruktur on-premises, yang sepenuhnya dikecualikan dari perubahan ini karena manajemen sumber daya berada di bawah kendali tim internal perusahaan.
Bagi pelanggan GitHub Enterprise Cloud dengan data residency, GitHub memastikan bahwa arsip alert tetap disimpan secara patuh di kawasan geografis yang sama dengan data utama organisasi, tanpa pemindahan lintas batas wilayah hukum.
Evolusi dari Kebijakan Pause PR 2023
Kebijakan penonaktifan alert ini melengkapi langkah yang pernah diambil GitHub pada Januari 2023. Tiga tahun lalu, GitHub memperkenalkan jeda otomatis untuk pembuatan Dependabot pull requests jika pengelola repositori tidak pernah menyetujui, menutup, atau berinteraksi dengan PR otomatis selama lebih dari 90 hari.
Namun, kebijakan tahun 2023 tersebut secara tegas hanya menghentikan pembuatan pull request otomatis dan tidak mematikan notifikasi alert keamanan. Kebijakan baru per Desember 2026 ini melangkah lebih jauh dengan menyentuh lapisan alert itu sendiri. Hal ini memperlihatkan bahwa beban komputasi pemindaian database kerentanan terhadap pohon dependensi proyek yang tidur panjang kini sudah mencapai titik yang menuntut efisiensi skala besar.
Langkah Antisipasi untuk Tim Pengembang
Bagi tim rekayasa perangkat lunak dan pengelola pustaka open source, tanggal 8 Desember 2026 menjadi tenggat penting untuk melakukan audit inventaris. Repositori yang berfungsi sebagai template, modul referensi, atau dependensi internal yang jarang disentuh berisiko kehilangan sistem peringatan dini jika dibiarkan melewati ambang 365 hari tanpa penanganan terencana.
Untuk organisasi skala menengah dan besar, cara paling aman menghindari kebutaan keamanan pada aset lama adalah menetapkan konfigurasi keamanan terpusat di tingkat organisasi (organization-level security configurations). Dengan pendekatan ini, kebijakan Dependabot alerts ditegakkan secara menyeluruh tanpa bergantung pada frekuensi commit harian masing-masing anggota tim. Sementara bagi pengembang perorangan, pemeriksaan berkala pada daftar repositori sampingan (side projects) menjadi langkah bijak agar celah keamanan kritis pada pustaka lama tidak terlewat begitu saja.
--- Sumber dan referensi: - GitHub Changelog: "Dependabot alerts will pause on inactive repositories" (10 November 2026): https://github.blog/changelog/2026-11-10-dependabot-alerts-will-pause-on-inactive-repositories/ - GitHub Docs: "Configuring Dependabot alerts": https://docs.github.com/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts - GitHub Docs: "Troubleshooting Dependabot updates stopped": https://docs.github.com/en/enterprise-cloud@latest/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-updates-stopped