GitHub Dependabot, npm private registry 설정 추론 중단

GitHub 공식 변경 로그에 따르면 Dependabot은 npm private registry를 처리할 때 lockfile의 resolved URL을 바탕으로 .npmrc 설정을 추론하지 않는 방식으로 전환한다. GitHub는 2026년 6월 30일 변경 로그에서 기존 추론 방식이 잘못된 lockfile URL, lockfile 형식 차이, npm·Yarn·pnpm 생태계의 엣지 케이스로 인증 실패를 일으키는 경우가 있었다고 설명했다.

이번 변경의 핵심은 Dependabot 설정 파일인 dependabot.yml을 private registry 인증의 명확한 기준으로 삼는 데 있다. GitHub는 npm private registry를 사용하는 경우 registries 항목에 scope 속성을 정의할 수 있다고 밝혔다. scope가 지정되면 Dependabot은 해당 registry credentials를 바탕으로 .npmrc를 생성하며, 이 설정은 저장소에 커밋된 .npmrc나 lockfile 기반 추론보다 우선한다.

GitHub Docs도 private registry 접근 문서에 같은 내용을 반영했다. 문서는 npm-registry 설정에서 scope 파라미터를 사용해 npm scope와 private registry를 연결할 수 있고, scope 값은 @로 시작해야 한다고 안내한다. 여러 scope를 같은 registry와 연결하려면 scope별로 별도 registry 항목을 만들어야 한다.

개발 조직에는 공급망 보안과 자동 업데이트 운영 양쪽에서 영향이 있다. Dependabot은 취약한 의존성 업데이트와 버전 업데이트를 자동화하는 도구지만, private package registry 인증이 실패하면 보안 업데이트 풀리퀘스트 생성 자체가 지연될 수 있다. 사내 npm 패키지, GitHub Packages, Artifactory, Verdaccio 등 private registry를 함께 쓰는 팀은 dependabot.yml에서 scope와 registry 매핑이 명확한지 점검해야 한다.

특히 monorepo나 여러 조직 scope를 함께 사용하는 저장소는 기존 lockfile이나 커밋된 .npmrc에 의존한 설정이 더 이상 기대한 방식으로 작동하지 않을 수 있다. GitHub의 이번 변경은 자동 추론을 줄이고 명시적 설정을 강화하는 방향이다. 이는 인증 실패 원인을 줄이는 효과가 있지만, 기존 설정을 묵시적으로 사용해 온 프로젝트에는 전환 작업을 요구한다.

보안팀과 플랫폼팀은 Dependabot 작업 로그에서 private registry 인증 오류가 반복되는지 확인하고, npm scope별 registry 항목과 token secret 구성을 정리할 필요가 있다. 의존성 업데이트 자동화는 보안 패치 속도와 직접 연결되는 만큼, 변경 로그 확인에 그치지 않고 실제 저장소의 Dependabot 실행 결과까지 검증하는 것이 중요하다.

출처: GitHub Changelog https://github.blog/changelog/2026-06-30-dependabot-no-longer-infers-npmrc/
출처: GitHub Docs https://docs.github.com/en/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries