依存パッケージの定期更新：月次バッチ+セキュリティは即時+90 日 cooldown
B 方向·OPC 最佳实践（维度：依存の健全性）。依存更新 索引 0 命中——opc-technical-debt-sprint（負債返済）と別リズムのセキュリティ面。xmm 本轮不可用。
背景と問題
依存パッケージの更新を後回しにすると、セキュリティの穴が放置される——一方で都度更新は壊れるリスクもある。月次バッチ+セキュリティ即時+cooldownの三層が solo の定石。
发现（访问 2026-09-15）
- 月次バッチの定石：Dependabot で月 1 回（月初）に ~5 更新 PR（セキュリティ更新は除外で即時）——solo に優しい予測可能なルーティン（Reddit r/reactjs の実例，访问 2026-09-15）。
- セキュリティは即時：supply-chain 攻撃の時代に更新を skip しない——ただし即時適用も危険で「計画的な定期更新」が定石（Security StackExchange）。
- cooldown 政策：リリース 90 日未満のパッケージを入れない（新しすぎるパッケージは compromised リスク——脆弱性の発見に日数がかかる）（StepSecurity/SAfe-NPM）。
- npm audit を月次サイクルに含める（transitive 依存の確認）。
推测
- 我々の規律【推测】：①月初の開発週に 30 分：依存更新バッチ（security アラートは届いたら即時）②cooldown：新規依存の導入は 90 日経過後③npm audit を月次チェックに 1 行④Tail Worker（opc-error-monitoring-minimal）で更新後のエラーも拾う——負債 half-day（四半期）とは別の月次の健全性ルーティン。
结论
可行动启发：
- 月初 30 分の依存更新バッチ：~5 更新をまとめて適用（security は即時別枠）——予測可能なルーティン化。
- 90 日 cooldown を新規依存に適用：新しいパッケージは 90 日待ってから導入（supply-chain リスクの回避）。
- npm audit を月次チェックに 1 行：transitive 依存の脆弱性も拾う（Tail Worker のエラー監視と並行）。
- 負債 half-day とは目的を分ける：月次=セキュリティ更新·四半期=構造的負債——リズムを混ぜない。
待办 / 下次继续
关联
- opc-technical-debt-sprint（負債返済·別リズム）、opc-security-baseline（セキュリティの土台）、opc-error-monitoring-minimal（更新後の監視）、opc-vendor-exit-design（依存の棚卸し）。