В софтуера години наред важеше едно негласно правило: обновявай веднага, най-новото е най-сигурно. GitHub току-що каза на глас, че това вече не е вярно.
Факт
Фактите: На 23 юли 2026 GitHub обяви, че Dependabot - роботът, който предлага обновления на пакети в милиони проекти - вече изчаква по подразбиране три дни, преди да отвори заявка за нова версия. Правилото важи само за обикновените обновления на версии; кръпките за известни уязвимости продължават да идват веднага. Контекстът: за годината до май 2026 базата на GitHub е регистрирала средно около 18 злонамерени npm пакета на ден, а анализ на 21 големи инцидента по веригата на доставки показва, че компрометираните версии обикновено се свалят до часове след появата си. Прозорецът се настройва в dependabot.yml. Източник: GitHub, 23.07.2026.
Механиката е проста и точно затова е добра. Отровената версия живее часове - изчакаш ли три дни, тя е свалена, преди изобщо да стигне до теб. Не защото си бил по-умен, а защото не си бил пръв.
Най-новото спря да е синоним на най-безопасното.
Урокът важи и извън кода. Първите часове на всяко ново нещо - версия, инструмент, услуга - са часовете, в които се крият изненадите. А медал за пръв инсталирал никой не раздава. Три дни търпение е най-евтината защита, която съм виждал тази година.
Официални първоизточници
GitHub - The case for a cooldown (Dependabot), 23.07.2026Визуалът към статията е генериран код-арт, без чужди изображения.