chore: Dependabotの設定を追加

[CaCC-Lab]

概要

Dependabot の PR が溜まりやすい状態を解消するため、.github/dependabot.yml を追加する。セキュリティ更新は引き続き受け取りつつ、方針として採用しない更新の PR が繰り返し作られるのを防ぐ。

変更内容

• .github/dependabot.yml を新規追加
• 通常のバージョン更新の PR を作らない（open-pull-requests-limit: 0）
  • セキュリティ更新の PR はこの上限の対象外のため、引き続き作成される
• Next.js 15 系以降への更新 PR を抑止
  • next と eslint-config-next の >=15.0.0 を ignore
  • 14 系のパッチ更新（14.2.36 など）は引き続き通知される

技術的な詳細

なぜ update-types ではなく versions で指定しているか

Dependabot options reference に以下の記載がある。

update-types only affects version updates, not security updates.

update-types: ["version-update:semver-major"] ではセキュリティ更新由来の PR を止められないため、versions: [">=15.0.0"] で範囲指定している。ignore 自体はセキュリティ更新にも適用される。

open-pull-requests-limit: 0 の効果

同ドキュメントに以下の記載がある。

Security update pull requests are not subject to this limit and do not count toward it.

そのため、この設定でも脆弱性の通知は失われない。

Next.js を 14 系に固定する理由

• fix: 依存パッケージの脆弱性を修正（critical 4件を解消） #27 で 14.2.35 に更新し、critical は解消済み
• 14.2.35 で残る next の advisory 2件（Image Optimizer の remotePatterns 経由の DoS、RSC の HTTP リクエストデシリアライズによる DoS）は、いずれも self-hosted のサーバー実行が前提
• 本プロジェクトは output: 'export' の静的サイトで、サーバーを持たず images.unoptimized: true のため該当しない
• 15/16 系へのメジャーアップは App Router の破壊的変更への追従が必要

影響と注意点

• Next.js 15/16 系のセキュリティ情報は PR として上がってこなくなる。将来 15/16 へ移行する場合は、この ignore 設定を外す必要がある
• 通常のバージョン更新（非セキュリティ）は手動で npm outdated / npm update を実行して管理する

テスト内容

• .github/dependabot.yml の YAML 構文をパースして検証（package-ecosystem: npm、open-pull-requests-limit: 0、ignore 2件を確認）
• 設定ファイルの追加のみで、アプリケーションコードへの変更はない

関連

• build(deps): bump next from 14.2.8 to 15.5.18 #23、build(deps): bump next from 14.2.35 to 15.5.21 #28（next 15 系への更新 PR）を方針に基づき close 済み
• Fix React Server Components CVE vulnerabilities #15、Fix React Server Components CVE vulnerabilities #16、build(deps-dev): bump tmp from 0.2.3 to 0.2.7 #21、build(deps-dev): bump @tootallnate/once from 2.0.0 to 2.0.1 #22、build(deps): bump tar and electron-builder #24、build(deps-dev): bump shell-quote from 1.8.4 to 1.10.0 #25 は fix: 依存パッケージの脆弱性を修正（critical 4件を解消） #27 で解消済みのため close 済み

🤖 Generated with Claude Code

https://claude.ai/code/session_01Px1Wc29YVQhjBD3Sju8vAg

Summary by CodeRabbit

• Chores
  • npm依存関係の更新確認を週次で行う設定を追加しました。
  • 通常の依存関係更新プルリクエストの自動作成を無効化しました。
  • Next.jsおよび関連設定は14系を維持するよう制御しました。

[netlify]

✅ Deploy Preview for rococo-monstera-807791 ready!

Name	Link
🔨 Latest commit	c3ff398
🔍 Latest deploy log	https://app.netlify.com/projects/rococo-monstera-807791/deploys/6a681fc2df1b71000892edea
😎 Deploy Preview	https://deploy-preview-29--rococo-monstera-807791.netlify.app
📱 Preview on mobile	Toggle QR Code... Use your smartphone camera to open QR code link.

---

To edit notification comments on pull requests, go to your Netlify project configuration.

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated (UTC)
v0--a1knrtgvnd4	Building	Preview, Comment, Open in v0	Jul 28, 2026 3:19am
v0-mousegame	Ready	Preview, Comment	Jul 28, 2026 3:19am

[coderabbitai]

Caution

Review failed

The pull request is closed.

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro

Run ID: 56741c9d-ceca-4788-81c0-0b21ca686926

📥 Commits

Reviewing files that changed from the base of the PR and between 0681a8a and c3ff398.

📒 Files selected for processing (1)

• .github/dependabot.yml

---

Walkthrough

Dependabotのnpm依存関係更新設定を追加し、週次確認、通常更新PRの抑止、Next.js 15系以降の除外を定義した。

Changes

Dependabot設定

Layer / File(s)	Summary
依存関係更新ポリシー .github/dependabot.yml	npm依存関係をルートで週次確認し、通常の更新PRを抑止する。next と eslint-config-next の15.0.0以降を無視し、Next.js 14系を維持する。

Estimated code review effort: 1 (Trivial) | ~2 minutes

Poem

ぴょんと跳ねる白うさぎ
更新の道を週に見る
Nextは14でひと休み
PRの波も静かに止め
設定ひとつで春を待つ

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch chore/dependabot-config

---

_{Comment @coderabbitai help to get the list of available commands.}