Definition. Eine Karenzzeit legt fest, dass neue Versionen von Paketen oder Images erst nach einer Mindestdauer seit ihrer Veröffentlichung übernommen werden. Renovate setzt das mit minimumReleaseAge um, uv mit exclude-newer und pip seit Version 26.1 mit --uploaded-prior-to.

Warum relevant. Kompromittierte Releases fallen häufig schon nach Minuten oder Stunden auf und werden entfernt. Eine Karenzzeit von einigen Tagen hält sie aus der eigenen Umgebung fern, ohne Updates zu blockieren. Sicherheitsupdates nimmt man davon aus, und Renovate lässt sie laut Dokumentation ohne Wartezeit durch.

Beispiel. Die manipulierten Wheels von LiteLLM 1.107.0 lagen am 21. Oktober 2026 knapp zwei Stunden auf PyPI. Mit einer Karenzzeit von einem Tag wären sie nie installiert worden.

Verwandt. Lockfile, Image-Digest, Supply-Chain-Angriff