build: npm の min-release-age と dependabot cooldown を 7 日に設定する

[ppworks]

背景

2026-08-04 に発生した keyv 等 jaredwray 管理パッケージへのサプライチェーン攻撃を受けての緩和策です。

• 参考: https://blog.flatt.tech/entry/keyv_compromise

今回の攻撃では悪性バージョンが公開から数時間で takedown されており、インストール解決に検疫期間（cooldown）を設けていた環境は被害を免れています。

変更内容

1. npm プロジェクトルートに .npmrc を追加し、min-release-age=7 を設定します。npm install / npm update などでの新規バージョン解決時に、公開から 7 日未満のバージョンがインストールされなくなります
2. .github/dependabot.yml の npm エコシステムに cooldown: default-days: 7 を設定します。dependabot の version update が公開から 7 日間保留されます（既定は 3 日）

影響

• npm ci や lockfile に固定済みのバージョンのインストールには影響しません
• min-release-age は npm v11 以降の設定です。未対応の npm では警告が出るだけで無視されます
• dependabot の cooldown はセキュリティアップデートには適用されません（脆弱性対応の bump は遅延しない）
• shakapacker の multi-ecosystem-group エントリ（gem と npm を同時 bump）には、bundler / npm の両側に揃えて cooldown 7 日を設定しています（片側だけの遅延によるバージョン不整合を避けるため）

🤖 Generated with Claude Code