[waterfallmouse]

変更の目的と結果

依存関係とリポジトリのセキュリティ確認をGitHub標準機能で継続できるようにします。

変更内容

• .github/dependabot.yml
• .github/workflows/dependency-review.yml
• SECURITY.md

新規の更新設定は月曜10:00 JST、通常更新PR上限3件／エコシステムです。既存のスケジュール・除外・レジストリ設定を維持し、不足分だけ補います。

検証結果

• YAMLの構文、実在する更新対象ディレクトリ、既存設定の保持をローカル検証しました。
• GitHub上のCI・初回ジョブはこのPRの同一headで確認します。
• base: 77959339aedfad04096d1a5faf539409cce9aa7b
• head: 800063ef17c892e4f60d83b19552121aa9559c96

要確認・対象外

• 公開範囲、ブランチ保護、有料セキュリティ製品の契約は変更しません。
• 依存関係のバージョン自体は変更しません。今後の更新PRに自動マージを追加しません。
• 設定検証のためのデプロイ、リリース、IaC applyは実行しません。
• 設定用PRはCI・既存の承認条件を確認後、[skip ci]を付けたSquash commitで反映し、反映pushによるデプロイを起動しません。

影響と戻し方

このPRの設定ファイル変更をrevertすると、追加した定期更新・確認処理を元に戻せます。GitHub設定の変更は別途反映・読み戻しで管理しています。

Summary by CodeRabbit

• メンテナンス
  • Python依存関係の更新を週次で確認し、通常更新とセキュリティ更新を分けて管理するようになりました。
  • プルリクエストで重大度の高い依存関係変更を検出できるようになりました。
• ドキュメント
  • 脆弱性や認証情報漏えいの疑いを非公開で報告する手順を追加しました。

[coderabbitai]

No actionable comments were generated in the recent review.

Recent review info

Run configuration

• Source mode: Auto
• Repository: Unavailable
• Branch: Unavailable
• File: No configuration file from this repository applied
• Commit: Unavailable
• Layers: Organization UI
• Review profile: CHILL
• Plan: Essentials
• Run ID: e7eb0f31-bce6-4294-a3b3-94739b0a7bb3

Commits

Reviewing files that changed from the base of the PR and between 7795933 and 800063e.

Files selected for processing: 3

• .github/dependabot.yml
• .github/workflows/dependency-review.yml
• SECURITY.md

Included review availability: This review used your included allowance. 0 included reviews remain after this review. Your included PR review attempts over the past 7 days set your current allowance at 1 review per hour.

Walkthrough

Dependabotのpip更新設定と、プルリクエストで依存関係を確認するワークフローを追加しました。脆弱性や認証情報漏えいの疑いを非公開で報告する手順も追加しました。

Changes

依存関係の自動管理

Layer / File(s)	Summary
Dependabotの更新設定 .github/dependabot.yml	pipをルートと/docで管理し、毎週月曜日の10:00（Asia/Tokyo）に更新します。オープン中のプルリクエスト上限を3件に設定し、通常更新とセキュリティ更新を別グループにします。
依存関係レビューの実行 .github/workflows/dependency-review.yml	指定された3種類のプルリクエストイベントで依存関係レビューを実行します。権限を読み取り専用にし、.githubのみをチェックアウトします。重大度がhighの変更がある場合、ワークフローは失敗します。

脆弱性の非公開報告

Layer / File(s)	Summary
報告手順 SECURITY.md	脆弱性や認証情報漏えいの疑いについて、リポジトリの非公開報告経路を案内します。再現手順、影響するバージョン、影響範囲を記載し、秘密情報の値を含めないよう求めます。対応時期やサポート対象について個別の約束は定めないと記載します。

Priority: Low

Estimated code review effort: 2 (Simple) | ~10 minutes

Change: Other

Merge Risk: Minimal · up to 80006

This PR adds scheduled dependency updates, a dependency review check on pull requests, and a private vulnerability reporting guide. No actionable merge-blocking risk remains.

Pre-merge checks: 5

Check name	Status	Explanation
Description Check		Check skipped - CodeRabbit’s high-level summary is enabled.
Title check		タイトルは、Dependabot、依存関係レビュー、脆弱性報告手順を追加してリポジトリのセキュリティ自動化を設定する主な変更を適切に表しています。
Docstring Coverage		No eligible functions found in the changed files. Skipping docstring coverage check. Docstring coverage is scoped to functions touched by this diff. Documentation-only edits and deletions within survi…
Linked Issues check		Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check		Check skipped because no linked issues were found for this pull request.

Full details: Docstring Coverage

Explanation

No eligible functions found in the changed files. Skipping docstring coverage check. Docstring coverage is scoped to functions touched by this diff. Documentation-only edits and deletions within surviving functions are included; unchanged diff context and fully deleted functions are excluded. Analyzed 0 functions across 0 files. (3 skipped: 3 unsupported.)

• Autofix · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

_{うさぎが設定を読みました
月曜の更新を見守ります
高い重大度を確かめます
秘密の報告路を案内します
ぴょんと安全の札を掲げます}

_{Comment @coderabbitai help to get the list of available commands.}