chore: security update 전용 그룹 추가

[eigger]

문제

security update는 dependabot.yml의 ignore 규칙을 따르지 않는다. GitHub 문서에 명시돼 있다 — "update-types only affects version updates, not security updates".

그래서 version-update:semver-major를 제외해뒀어도, 권고가 뜨면 메이저 단독 PR이 그대로 열린다. drop에서 실제로 이렇게 됐다.

• fastify 4.29.1 → 5.12.1 단독 bump가 feat: empty timeline guidance and journal stats (P1-27b) #11 → feat: PWA quick record and fecal score UI (P1-19/25/27c) #18 → #20으로 세 번 재생성
• 셋 다 @fastify/* 플러그인이 fastify 4 peer를 요구해 CI build가 깨진 채 머지 불가
• 결국 플러그인 5종을 묶은 별도 PR로 처리해야 했다

변경

npm과 github-actions에 applies-to: security-updates 그룹을 추가한다. 권고가 여러 건이어도 PR 하나로 묶여 온다.

      security:
        applies-to: security-updates
        patterns:
          - "*"

기존 그룹에는 기본값이던 applies-to: version-updates를 명시했다. 한 파일에 두 종류의 그룹이 공존하게 되므로 어느 쪽인지 드러나는 편이 낫다.

docker는 디렉터리당 node 이미지 하나뿐이라 묶을 게 없어서 그대로 뒀다.

트레이드오프

배치로 묶이면 안전한 패치와 깨지는 메이저가 한 PR에 섞일 수 있다. 그 경우 메이저를 처리하기 전까지 배치 전체가 머지 불가가 된다. 지금처럼 메이저 PR이 따로 계속 재생성되는 것보다는 낫다고 보고 묶는 쪽을 택했다 — 어차피 "major는 한 브랜치에서 일괄"이 이 저장소의 정책이다.

섞여서 막히면 그때 exclude-patterns로 문제 패키지를 그룹에서 빼내면 된다.

검증

4개 저장소(stash·kibble·garage·drop) 설정을 YAML 파싱하고, 각 그룹의 키가 문서상 허용된 것(applies-to, patterns, exclude-patterns, dependency-type, update-types)인지, applies-to 값이 유효한지 확인했다.

🤖 Generated with Claude Code