GitHub・プルリク・Dependabot・2026年10月27日に確認

GitHub：Dependabot のプルリクのチェックが失敗する

既定では、Dependabot が push・pull_request・pull_request_review・pull_request_review_comment のイベントで起こした GitHub Actions のワークフローの実行は、リポジトリのフォークから開かれたものとして扱われます。読み取り専用の GITHUB_TOKEN を受け取り、ふだん使えるシークレットにも触れられないので、リポジトリに書き込もうとするワークフローは Dependabot が起こすと失敗します（GitHub の GitHub Actions での Dependabot のトラブルシューティング・2026年10月27日に確認）。

Dependabot が起こした実行   フォークからと同じ扱い
GITHUB_TOKEN               既定で読み取り専用
シークレット               Dependabot のものだけ・Actions のものは無し
permissions:               そのワークフローのトークンを広げる
手で再実行                 前と同じ権限

なぜ失敗するか

書き込むにはトークンの書き込み権限が要る：読み取り専用の GITHUB_TOKEN でコメント・ラベル付け・プッシュをする手順は断られます。
シークレットが空になる：Dependabot のイベントで起きたワークフローに渡るシークレットは Dependabot のシークレットだけで、GitHub Actions のシークレットは使えません。たとえば非公開のレジストリへのログインは何も受け取れません（GitHub のシークレットへのアクセス）。
再実行しても変わらない：Dependabot のワークフローを手で再実行すると、再実行した人の権限が違っても、前と同じ権限で動きます。

どうするか

Dependabot では動かさない：if: github.actor != 'dependabot[bot]' のような式で、Dependabot のときはワークフローを動かさないようにします。
2段にする：この制限が無い pull_request_target を含む2段の流れにワークフローを変えます。ただし公開リポジトリでは、GitHub が pull_request_target を止める既定のポリシーを足します。今は評価だけで、2026年12月2日に適用すると GitHub は書いています（フォークからのプルリク）。
シークレットを Dependabot のシークレットに置く：Actions のシークレットと同じ secrets のコンテキストに入り、同じ書き方で参照します。Dependabot でもほかの人でも動くワークフローなら、Dependabot のシークレットと Actions のシークレットを同じ名前にすれば、1つの参照で両方に効きます。名前が違うなら条件で使い分けます。
トークンを広げる：ワークフローに permissions のキーを足します。たとえば pull-requests: write と issues: write、または write-all です（GitHub の GITHUB_TOKEN の権限の変更）。

IntelliJ IDEA で GitHub のプルリクを見るなら

Lesstep の Pull Request Inbox for GitHub は、JetBrains IDE（2024.1 以降）のプラグインです。プルリクのレビュー・チェック・会話を差分の隣に出し、対象のブランチが許す方法でマージします。GitHub が先頭のコミットに報告したチェックをそれぞれの実行へのリンクつきで並べるので、Dependabot のプルリクで失敗したジョブは GitHub で開けて、断られた書き込みや空のシークレットはそのログで分かります。ワークフローの再実行はしません。Dependabot が開いたプルリクでは、ブランチの更新の代わりに @dependabot rebase とコメントするよう出します。受信箱・差分・会話は無料、承認・コメント・解決・マージは Pro（月 US$1.50・30日間の無料試用つき）です。画面は日本語です。

GitHub と Dependabot は GitHub, Inc. の商標、IntelliJ IDEA は JetBrains s.r.o. の商標です。このページは GitHub, Inc.・JetBrains のいずれとも提携しておらず、承認も受けていません。