A maioria das PMEs já sentiu na pele o que acontece quando uma actualização automática corre mal: o site fica em baixo, o sistema de facturação deixa de responder ou o plugin do e-commerce desaparece sem aviso. As actualizações automáticas mais seguras deixaram de ser um desejo para se tornarem uma prática concreta com a nova política do Dependabot, a ferramenta do GitHub que gere dependências de software. A partir de agora, qualquer nova versão de uma biblioteca só é sugerida depois de um período de espera de três dias — tempo suficiente para que a comunidade detecte eventuais problemas antes que eles cheguem ao seu negócio.
O que é o período de espera e como funciona
O Dependabot é um serviço integrado no GitHub que monitoriza automaticamente as bibliotecas de código de que um projecto de software depende. Quando surge uma nova versão de uma dessas bibliotecas, o Dependabot abre um pull request — um pedido de integração — para que o programador a actualize. Até agora, isso acontecia de forma imediata, mal a nova versão era publicada no registo oficial.
A mudança anunciada a 14 de Julho de 2026 introduz um período de arrefecimento de três dias por defeito. Durante esses três dias, a versão fica disponível publicamente, mas o Dependabot não a propõe. Só depois desse prazo é que o pedido de actualização é gerado. O objectivo é simples: dar tempo para que outros utilizadores testem a novidade e reportem falhas críticas, evitando que um código instável entre em produção.
Para um director de PME, isto traduz-se numa camada extra de protecção sobre o software que a sua empresa utiliza, mesmo que não tenha uma equipa de desenvolvimento interna. Muitas das aplicações que usa — do website ao CRM — dependem de dezenas de componentes open source. Se esses componentes forem actualizados com versões problemáticas, o impacto pode ser imediato. O período de espera reduz esse risco sem exigir qualquer acção da sua parte.
O que diferencia esta abordagem das práticas anteriores
Até agora, a actualização de dependências seguia um de dois caminhos: ou era feita manualmente por um programador, que tinha de estar atento a cada nova versão, ou era automatizada sem qualquer filtro, aceitando tudo o que aparecia. Ambas as opções tinham custos. A primeira consumia tempo valioso de equipas técnicas; a segunda aumentava a probabilidade de falhas inesperadas.
O Dependabot já existia como ferramenta de automatização, mas faltava-lhe este intervalo de segurança. A diferença agora é que a própria ferramenta assume que uma versão acabada de sair é, por definição, suspeita. Não se trata de desconfiança nos programadores, mas de reconhecer um facto estatístico: muitos erros só são descobertos nas primeiras horas ou dias de utilização real. Ao esperar três dias, o Dependabot alinha-se com uma prática que as equipas mais experientes já adoptavam manualmente — o chamado staged rollout — mas torna-a acessível a qualquer projecto, mesmo aqueles sem processos formais de testes.
Para as PMEs portuguesas que recorrem a agências ou freelancers para desenvolver software à medida, esta mudança significa que as actualizações automáticas de componentes passam a ter um nível de prudência que antes dependia exclusivamente do bom senso do programador. É uma rede de segurança que opera em segundo plano, sem factura adicional.
O que isto significa para PMEs portuguesas
Uma PME típica portuguesa não tem um departamento de IT dedicado a verificar actualizações de bibliotecas. No entanto, o software que utiliza — lojas online em WooCommerce, sites em WordPress, sistemas de gestão baseados em cloud — está repleto de dependências que são actualizadas constantemente. Cada actualização automática mal sucedida pode traduzir-se em horas de loja fechada, pedidos perdidos ou clientes frustrados.
Com o período de espera de três dias, a probabilidade de uma actualização quebrar algo crítico diminui significativamente. Se um erro grave for detectado pela comunidade nesse intervalo, a versão nem chega a ser proposta. Isto não elimina a necessidade de ter uma consultoria estratégica que avalie os riscos tecnológicos do negócio, mas reduz a frequência de incidentes que exigem intervenção urgente. Menos sustos, menos custos de correcção, mais tempo para se focar no que realmente importa: vender e servir clientes.
Além disso, esta abordagem está alinhada com boas práticas de cibersegurança. Manter o software actualizado é essencial, mas fazê-lo de forma cega é perigoso. Como explicamos no nosso guia de cibersegurança para negócios digitais, a actualização de software deve ser parte de uma estratégia mais ampla de protecção de dados e continuidade operacional. O Dependabot oferece agora um equilíbrio entre rapidez e segurança que até aqui era difícil de alcançar sem investimento adicional.
O erro que a maioria comete
A maioria das empresas tenta resolver o problema das actualizações com uma de duas soluções radicais: ou desliga todas as actualizações automáticas por medo de quebras, ou actualiza tudo sem qualquer critério. O primeiro caso deixa o software desactualizado e vulnerável a ataques; o segundo transforma cada actualização numa roleta russa. O período de espera do Dependabot mostra que existe um caminho intermédio: automatizar com prudência. É exactamente o que muitas PMEs precisam e não sabiam que era possível.
Riscos e limitações
O período de espera de três dias não é uma solução mágica. Se surgir uma vulnerabilidade de segurança crítica que exija correcção imediata, esperar três dias pode ser demasiado. Nesses casos, o Dependabot permite que os programadores ignorem o período de espera e apliquem a actualização manualmente — mas isso exige que alguém esteja atento e tome essa decisão. Para PMEs sem equipa técnica, essa capacidade de reacção pode não existir.
Além disso, a eficácia do período de espera depende da dimensão e actividade da comunidade que utiliza cada biblioteca. Bibliotecas menos populares podem não ter utilizadores suficientes para detectar erros em três dias. E, claro, esta funcionalidade só se aplica a projectos que usem o GitHub e o Dependabot — o que exclui muitas soluções comerciais fechadas. Ainda assim, para o ecossistema open source que sustenta grande parte da web, é um avanço relevante.
Veredito Descomplicar®
O novo período de espera do Dependabot é uma daquelas melhorias silenciosas que tornam a Internet um pouco mais fiável para todos. Para a PME portuguesa que não quer perder o sono com actualizações, é uma boa notícia: significa que o software que usa tem menos probabilidade de se transformar numa dor de cabeça de um dia para o outro. Vale a pena explorar se a sua empresa depende de plataformas open source ou de desenvolvimento à medida — e, já agora, garantir que a sua estratégia digital contempla mecanismos de actualização e backup que protejam o negócio. Não substitui uma política de testes, mas é um passo na direcção certa.
Fonte: GitHub Changelog