Dependabot больше не заваливает репозиторий пачкой PR: три правки в dependabot.yml

Так и тонут нужные обновления. В Microsoft GCToolkit 92 коммита из 578 оказались бампами версий: каждый шестой, и 61 из них пришёлся на последние 12 месяцев, иногда по несколько за день.

Раньше и теперь. В конфиге GCToolkit стояло `interval: daily` и лимит в 10 открытых PR, групп не было ни одной. Экосистему `maven` туда вообще не завели, следил только `github-actions`. Теперь бампы приезжают раз в месяц одной пачкой.

Готовый конфиг. В `.github/dependabot.yml` репозитория microsoft/gctoolkit лежит рабочий образец, который можно скопировать целиком: `version: 2`, для `github-actions` и `maven` по `directory: "/"`, расписание `schedule: {interval: "monthly"}` и группа `groups: {monthly-batch: {patterns: ["*"]}}`. Шаблон `*` сгребает все бампы в один PR. У `github-actions` добавлен `cooldown: {default-days: 7}`.

Обновления безопасности такой конфиг не тормозит: `groups` и `schedule` по умолчанию управляют только версиями, а security-фиксы идут отдельным потоком и открываются сразу после раскрытия уязвимости.

Куда ещё крутить. Поле `interval` принимает daily, weekly, monthly, quarterly, semiannually, yearly или cron, так что уехать можно и реже месяца. Группировать разрешено и сами security updates: в блоке группы указывается `applies-to: security-updates`.

Дальше та же логика едет в монорепо: с февраля 2026 Dependabot собирает одну зависимость из всех папок в один PR по ключу `directories`.