Dependabot、GitHub Packages への認証がPAT不要に

何が発表されたか

• 2026年9月8日、GitHub が Dependabot の GitHub ホスト型レジストリへの自動認証 を再有効化した。
• Dependabot が GITHUB_TOKEN（packages: read 権限）を使い、プライベートな GitHub Packages に自前で認証する。PAT の発行・設定が不要になる。
• 対象は *.pkg.github.com と ghcr.io。Dependabot が対応する GitHub Packages のエコシステム全般で機能する。
• 自動認証はフォールバックとして動作し、dependabot.yml に明示したレジストリ認証情報のほうが優先される。
• 本機能は 2026年6月23日に一度リリースされたが、npm のパッケージ解決に影響する不具合が見つかりロールバックされていた。今回、公開パッケージが意図せず GitHub Packages 経由で解決されないようフォールバック挙動を修正したうえでの再投入。

開発者への影響

設定手順は以下の通り。Dependabot にアクセスさせたいプライベートパッケージごとに、

1. パッケージの設定ページを開く
2. 「Manage Actions access」で、Dependabot を動かすリポジトリに Read 権限を付与
3. dependabot.yml から PAT ベースのレジストリ設定を削除

受託開発で複数クライアントのリポジトリを抱えている場合、PAT の棚卸しと有効期限管理は地味に事故を生みやすい運用負債だった。トークンが切れて依存更新PRが静かに止まる、という典型的な事故がこの変更で減る。

ただし「PATを消す」のは最後にすること。先に Actions access を付与してから消さないと、更新PRが一時的に落ちる。また、公開パッケージの解決経路が変わっていないかは、切り替え後の初回PRで確認しておきたい。