Scandar et Dependabot
Les deux aboutissent à une pull request. Dependabot est celui que GitHub fait déjà tourner. Scandar est celui qui lit votre lockfile et attend que vous choisissiez les paquets.
Informations vérifiées le 25 octobre 2026 ; les plans évoluent, consultez leur site. Les cellules Dependabot ont été vérifiées dans la documentation de GitHub sur les mises à jour de sécurité Dependabot.
| Scandar | Dependabot | |
|---|---|---|
| Où il tourne | Un processus Node que vous hébergez. Postgres reste sur cette machine. | Sur GitHub. Rien à faire tourner vous-même. |
| Ce qu'il lit | Le lockfile déjà présent dans le dépôt. | Les alertes couvrent le graphe de dépendances. Les mises à jour de sécurité visent les dépendances nommées dans un manifeste ou un lockfile. |
| Alertes | OSV.dev. Les identifiants en double de GHSA et des bases d'écosystème sont fusionnés. | GitHub peut envoyer une alerte pour une vulnérabilité divulguée par une alerte de sécurité GitHub. |
| La pull request | Ouverte depuis l'app, pour les paquets cochés. Les montées majeures sont décochées au départ. | Avec les mises à jour de sécurité actives, Dependabot ouvre une pull request vers la version corrigée minimale. Les mises à jour de version sont une fonctionnalité séparée. |
| Réécrire le lockfile | npm, pnpm et Yarn classic. Yarn Berry est analysé mais pas régénéré. | Pour npm, Dependabot peut mettre à jour une dépendance explicite même si cela change un parent ou retire une sous-dépendance. Pour les autres écosystèmes, il ne met pas à jour une dépendance indirecte quand le parent doit aussi changer. |
| Autres écosystèmes | Python (sauf Pipfile.lock), Go, Rust, PHP et Ruby peuvent être régénérés quand l'outil est installé sur le serveur. Sinon le correctif reste indiqué et aucune pull request n'est ouverte. | GitHub documente les écosystèmes pris en charge sur une page séparée. Cette note ne reprend pas une liste qu'elle n'a pas relue. |
| Ignorer une alerte | Une raison, une note et une expiration de 30 jours à jamais. Elle revient à l'échéance. | Un fichier dependabot.yml peut définir les horaires, les réglages de pull request et les dépendances à surveiller. |
| Fusion | Fusion en squash dans l'app. Refusée en cas de conflit, de vérification en échec ou de protection de branche. | Vous fusionnez la pull request sur GitHub. |
Quand Dependabot est le bon outil
Dependabot est déjà sur le dépôt. Les alertes apparaissent dans l'onglet Security, et les pull requests de sécurité ne demandent ni serveur, ni GitHub App à vous, ni npm sur une machine que vous gérez. Les mises à jour de version suivent un planning séparé, commité dans dependabot.yml.
Si l'objectif est « GitHub ouvre la pull request et je la relis », Dependabot le fait sans autre app au milieu.
Ce que Scandar ajoute à un lockfile
Scandar ne voit que les dépôts où la GitHub App est installée. Il analyse le lockfile de l'arborescence, interroge OSV.dev et montre un plan de correction avant tout push. Les plages directes passent à ^fixed. Les paquets transitifs sont épinglés avec overrides, pnpm.overrides ou les resolutions de Yarn. Le lockfile est régénéré dans un dossier temporaire, scripts de paquets désactivés.
Python (sauf Pipfile.lock), Go, Rust, PHP et Ruby peuvent être régénérés quand l'outil de l'écosystème est installé sur le serveur. Sinon, la version corrigée reste indiquée et aucune pull request n'est ouverte pour ce lockfile.
Ce qu'il vous reste à faire
Rien n'arrive sur la branche par défaut tant que vous ne fusionnez pas. La fusion en squash depuis l'app est refusée en cas de conflit, de vérifications en échec ou de protection de branche. Une alerte ignorée sort des totaux, des correctifs, des notifications et de la vérification Scandar jusqu'à l'expiration choisie.
Le reste du produit est local à ce processus : un historique de 90 jours, la santé des paquets npm, les exports CycloneDX et SPDX, un badge README, des webhooks Slack ou Discord et une vérification nommée Scandar sur les pull requests des dépôts suivis.