GitHub a annoncé le 29 septembre 2026 que les administrateurs peuvent choisir, dépôt par dépôt, les runners utilisés par Dependabot pour ses mises à jour de versions et de sécurité. Ce contrôle complète les réglages déjà proposés au niveau de l’organisation.
Un périmètre limité à github.com
La nouveauté concerne les dépôts privés et internes. Les contrôles ne sont pas affichés pour les dépôts publics ni sur GitHub Enterprise Server. Il ne s’agit donc pas d’un changement applicable à tous les projets.
Les administrateurs peuvent sélectionner le type de runner ainsi qu’une étiquette et un groupe facultatifs. Les runners étiquetés peuvent être auto-hébergés ou correspondre aux grands runners hébergés par GitHub. L’accès à des registres de paquets privés figure parmi les usages cités dans l’annonce officielle.
La configuration doit correspondre aux runners disponibles
Sans étiquette personnalisée, Dependabot utilise l’étiquette dependabot. L’option Standard GitHub runner conserve l’environnement hébergé par défaut.
La documentation officielle précise les prérequis : Dependabot doit être installé et activé, et GitHub Actions activé et utilisé. Le runner doit porter l’étiquette choisie ; un groupe renseigné doit exister et être accessible au dépôt. Une restriction définie par l’organisation peut empêcher la modification du réglage.
Pas de lancement immédiat
Changer ce paramètre ne déclenche pas une nouvelle exécution Dependabot. GitHub précise aussi que les configurations de sécurité n’imposent pas actuellement ces réglages. L’apport annoncé est un choix plus fin de l’environnement d’exécution, pas une garantie de rapidité ou une économie mesurée.
