Dependabot
O atualizador automático de dependências do GitHub — abre PRs quando seus pacotes ganham versões novas ou têm falhas de segurança descobertas.
Comprado pelo GitHub em 2019, gratuito para todos os repositórios. Configurado via .github/dependabot.yml. Três tipos de alerta: security (um CVE em uma dependência transitiva), version (só uma versão mais nova), group (junta vários bumps num único PR). Suporta npm, pip, Maven, Cargo, Go modules, imagens-base Docker, Actions e mais.
Concorrente: Renovate (mais configurável, mas com curva de aprendizado mais íngreme). A maioria das empresas usa o Dependabot para alertas de segurança e o Renovate — ou automação própria — para os bumps de versão.