Nie wieder veraltete Abhängigkeiten – Automatische Updates mit dem Renovate Bot

Man kennt es aus dem Projektalltag: Dependency Updates werden ignoriert, bis es nicht mehr geht. Updates werden erst durchgeführt, wenn der Support ausgelaufen ist oder weil Sicherheitslücken entdeckt werden. Dann läuft das Ganze unter Zeitdruck und auf Kosten der Nerven. Schlimmstenfalls führt ein überfälliges Update zu unerwarteten Problemen oder Produktionsausfällen. Doch es gibt eine Methode, um das Ganze zu erleichtern! Und zwar automatische Dependency Updates mit dem Renovate Bot. Dieses Tool nimmt Entwicklern die manuelle Pflege von Abhängigkeiten ab und sorgt für eine kontinuierliche Aktualisierung.

Renovate Bot: Der Helfer für automatische Updates

Renovate Bot ist ein leistungsstarkes Tool zur Automatisierung von Dependency-Updates und unterstützt viele Plattformen. (Details hierzu findet ihr in der offiziellen Dokumentation: Renovate Dokumentation). Der Bot erkennt Abhängigkeitsmanager, Package-Dateien, DevOps- und Infrastructure-as-Code-Dateien in eurem Repository und schlägt Versionsupdates vor.

Um den Bot zu aktivieren, gibt es verschiedene Möglichkeiten, die alle gut in der Dokumentation beschrieben sind. Ist der Bot einmal konfiguriert, läuft er automatisch und sorgt für aktuelle Abhängigkeiten, ohne dass man ständig manuell eingreifen muss.

Voraussetzungen für automatische Dependency Updates

Damit die automatischen Updates reibungslos funktionieren, sollten einige Voraussetzungen erfüllt sein:

Eine solide CI/CD-Pipeline mit guter Testabdeckung: So ist sicher, dass die Updates keine Probleme verursachen.

Ein bis zwei Tage Zeit für die Ersteinrichtung: Gerade bei älteren Projekten mit vielen veralteten Abhängigkeiten kann es dauern, bis alle relevanten Updates abgearbeitet sind.

Doch was passiert, wenn das Repository keine ausreichende Testabdeckung hat? Bringt der Renovate Bot dann überhaupt noch etwas?

Zunächst kann die Einführung des Bots eine gute Motivation sein, die Testabdeckung zu verbessern. Selbst ohne vollständige Testabdeckung ist Renovate dennoch hilfreich, da es zumindest über anstehende Updates informiert und Merge Requests erstellt. Dadurch bleiben veraltete Abhängigkeiten sichtbar und können manuell überprüft werden.

Kurzer Refresher: Semantic Versioning (SemVer)

Bevor wir uns mit der Konfiguration befassen, ist ein kurzer Blick auf Semantic Versioning (SemVer) hilfreich. Eine typische Version sieht folgendermaßen aus: Major.Minor.Patch, beispielsweise 2.8.1. Die meisten Dependencies halten sich an SemVer.

Patch Updates (x.x.1 → x.x.2) enthalten nur Bugfixes und sollten sicher sein.

Minor Updates (x.1.x → x.2.x) enthalten neue Features, aber keine Breaking Changes.

Major Updates (1.x.x → 2.x.x) können Breaking Changes enthalten und erfordern meist Anpassungen im Code.

Mehr Details findet ihr auf https://semver.org/. Diese Struktur hilft, automatisierte Updates besser zu verwalten, da in der Regel nur Major Updates eine manuelle Überprüfung benötigen.

Schnelle Konfiguration für automatische Dependency Updates

Folgend ist eine Konfiguration für automatische Dependency Updates. Natürlich lässt sie sich durch weitere Presets und individuelle Konfigurationen ergänzen.

{
  „$schema“: „https://docs.renovatebot.com/renovate-schema.json“,
  „extends“: [
    „config:recommended“,
    „:automergeMinor“
  ],
  „automergeType“: „branch“
}

Erklärung der Konfiguration:

extends: [„config:recommended“] → Dieses Preset sorgt für eine von Renovate empfohlene Grundkonfiguration.

extends: [„:automergeMinor“] → Ein Preset, welches das automatische Mergen von Minor- und Patch-Updates ermöglicht.

automergeType: „branch“ → Updates werden ohne eine Merge-Request direkt in den Haupt-Branch gemerged

Wann werden Updates bei dieser Konfiguration nicht automatisch gemerged?

Major Updates: Können Breaking Changes enthalten. Renovate Bot öffnet eine Merge Request für eine manuelle Prüfung.

Fehlgeschlagene Pipelines: Falls Tests nicht erfolgreich durchlaufen, wird das Update nicht gemerged.

Konflikte mit anderen Änderungen: Falls ein Update nicht ohne manuelle Anpassungen integriert werden kann.

Häufige Stolperfallen – und wie du damit umgehst

Auch wenn Renovate viel Arbeit abnimmt, gibt es einige Stolperfallen, auf die man achten sollte.

Abhängigkeiten mit eingeschränktem LTS-Support
Einige Frameworks oder Bibliotheken haben nur bestimmte Minor-Versionen als LTS (Long-Term Support), z. B. Quarkus. Falls das für das Projekt wichtig ist, sollte das beachtet werden.

Non-SemVer-Abhängigkeiten
Nicht alle Bibliotheken folgen strikt SemVer. Manche enthalten Breaking Changes in Minor- oder sogar Patch-Releases. Natürlich sollten Tests dies abfangen, aber zur Sicherheit sollte Renovate für solche Bibliotheken entweder deaktiviert oder nur mit manuellen Merge Requests konfiguriert werden.

Ungetestete Bereiche im Code
Automatische Updates sind riskant, wenn nicht ausreichend Tests existieren. Bestimmte Bereiche wie Logging, Local Deployment oder Monitoring sind oft nicht durch CI/CD-Tests abgedeckt. Ein Beispiel aus der Praxis: Nach einem Deployment funktionierte plötzlich das Logging in einem Micro-Service nicht mehr. Grund dafür war ein Dependency-Update eines Logging-Tools.

Lösungsvorschläge:

Komplett ignorieren: Die betroffenen Dependencies mit ignoreDeps von Dependency Updates durch Renovate ausschließen. Das kann so aussehen:

{
„$schema“: „https://docs.renovatebot.com/renovate-schema.json“,
 „extends“: [
    „config:recommended“,
    „:automergeMinor“
],
  „automergeType“: „branch“
  „ignoreDeps“: [„quarkus“,“terraform“],
}

Eingeschränkte Merge-Regeln: Für problematische Dependencies können Package Rules mit automerge: false gesetzt werden, sodass stattdessen Merge Requests erstellt werden. Dadurch wird man über die Updates benachrichtigt und kann sie dann manuell prüfen. 

{
„$schema“: „https://docs.renovatebot.com/renovate-schema.json“,
 „extends“: [
    „config:recommended“,
    „:automergeMinor“
],
  „automergeType“: „branch“
  „packageRules“: [
 {
„matchPackageNames“: [„quarkus“],
   „automerge“: false
 }
]
}

Erfolgsstory: So hilft Renovate in der Praxis

Für mein Projekt hat sich der Renovate Bot direkt bezahlt gemacht: Nur zwei Monate nach der Einrichtung wurden Sicherheitslücken in zwei Dependencies entdeckt. Dank Renovate waren beide bereits mit den neuesten Fixes auf dem aktuellen Stand und mit dem letzten Release produktiv ausgerollt – ohne zusätzlichen Aufwand!

Der Beitrag Nie wieder veraltete Abhängigkeiten – Automatische Updates mit dem Renovate Bot erschien zuerst auf Business -Software- und IT-Blog – Wir gestalten digitale Wertschöpfung.