Dependabot
El actualizador automático de dependencias de GitHub — abre PR cuando tus paquetes tienen versiones nuevas o agujeros de seguridad.
Comprado por GitHub en 2019, gratis para todos los repos. Se configura con .github/dependabot.yml. Tres tipos de alerta: security (un CVE en una dependencia transitiva), version (solo una versión más nueva) y group (agrupar varios bumps en un solo PR). Soporta npm, pip, Maven, Cargo, módulos de Go, imágenes base de Docker, Actions y más.
Competidor: Renovate (más configurable, pero con una curva de aprendizaje más pronunciada). La mayoría de las organizaciones usan Dependabot para las alertas de seguridad y Renovate o automatización propia para los bumps de versión.