.ai/conventions/dependencies.md

@@ -14,6 +14,20 @@ native API и зрелую небольшую dependency: parsing, serialization
 debounce, class composition. Три `Array.map` не требуют utility library.
 Не продолжай копировать boilerplate, если один принятый способ дешевле сопровождать.
 
+## Автоматические обновления
+
+Renovate (`renovate.json` в каждом из пяти repos, копия без общего preset)
+открывает PR в `develop`, автомерж выключен:
+
+- minor/patch — группы `non-major dependencies`, `non-major github actions`,
+  `non-major container images`; major — только после approval в Dependency Dashboard;
+- npm-обновления ждут 3 дня после публикации (`minimumReleaseAge`);
+  не более 5 открытых PR; `lockFileMaintenance` — раз в месяц;
+- без расписания: релизы не привязаны к календарю;
+- OpenSpec в manifests отсутствует (CLI ставится в CI как latest), Renovate его не обновляет.
+
+Принятие PR — обычный review и gates repo; правило копируй во все `renovate.json`.
+
 ## При выборе пакета
 
 - Укажи конкретную потребность, альтернативу из текущего stack и существенную

renovate.json

@@ -2,7 +2,8 @@
   "$schema": "https://docs.renovatebot.com/renovate-schema.json",
   "extends": [
     "config:recommended",
-    ":semanticCommitTypeAll(chore)"
+    ":semanticCommitTypeAll(chore)",
+    "security:minimumReleaseAgeNpm"
   ],
   "timezone": "Europe/Moscow",
   "labels": [
@@ -10,6 +11,13 @@
   ],
   "dependencyDashboard": true,
   "rangeStrategy": "pin",
+  "prConcurrentLimit": 5,
+  "lockFileMaintenance": {
+    "enabled": true,
+    "schedule": [
+      "before 4am on the first day of the month"
+    ]
+  },
   "packageRules": [
     {
       "matchUpdateTypes": [
@@ -18,6 +26,27 @@
       ],
       "groupName": "non-major dependencies"
     },
+    {
+      "matchManagers": [
+        "github-actions"
+      ],
+      "matchUpdateTypes": [
+        "minor",
+        "patch"
+      ],
+      "groupName": "non-major github actions"
+    },
+    {
+      "matchManagers": [
+        "docker-compose",
+        "dockerfile"
+      ],
+      "matchUpdateTypes": [
+        "minor",
+        "patch"
+      ],
+      "groupName": "non-major container images"
+    },
     {
       "matchUpdateTypes": [
         "major"