chore: クールダウンを7日に統一しDependabot alertsを解消

[newt239]

概要

サプライチェーン対策としてクールダウン期間を 7 日 に統一し、Dependabot alerts の脆弱性 5 件を解消します。あわせて Node.js / pnpm を最新に更新し、Node のバージョンをパッチまで正確に固定します。

変更内容

1. クールダウンを 7 日に統一

対象	変更
pnpm-workspace.yaml	minimumReleaseAge: 1420 → 10080（分単位 = 7 日）
.github/dependabot.yml	npm / github-actions 両方に cooldown.default-days: 7 を追加

github-actions は default-days のみ対応（semver-*-days は非対応）のため、両 ecosystem とも default-days で統一しています。

2. Dependabot alerts 5 件の解消

next@16.3.0 が postcss: 8.5.23 と sharp: ^0.35.3 を指定しているため、Next.js の更新だけで 4 件が解消します。fast-uri は ajv@8.20.0 が ^3.0.1 指定のため overrides で対応しました。

alert	パッケージ	変更
#154 / #155 / #158	postcss	8.4.31 → 8.5.23 / 8.5.25
#143	sharp	0.34.5 → 0.35.3
#159	fast-uri	3.1.4 → 3.1.5（overrides）

app/ginga-ui.com/next-env.d.ts の差分は Next.js 16.3.0 が自動生成したものです。

3. Node 26.7.0 / pnpm 11.21.0

.node-version・mise.toml・package.json の engines.node の 3 箇所すべてを 26.7.0 に固定しました。CI は 3 本とも node-version-file: ".node-version" を参照しているためワークフロー側の変更は不要です。

4. 生成される型定義を gitignore

pnpm build が packages/utils/src/ 配下に .d.ts を生成する既存の問題があるため、gitignore に追加しました（packages/core/src/css.d.ts は追跡済みの正規ファイルなので除外）。根本原因はルート tsconfig.json の "declaration": true で、本 PR では対処していません。

ダウングレードについて

直接依存 38 件・lockfile 上の解決済み 864 件すべての npm registry 公開日時を照合しましたが、7 日以内に公開されたバージョンは 0 件でした。巻き戻し対象はありません。

検証結果

tsc --noEmit / lint / format / stylelint / knip / pnpm build / ドキュメントサイトのビルド — すべて成功。

⚠️ マージ前の注意

next@16.3.0 は公開が 2026-08-03 20:39 UTC のため、2026-08-11 05:39 (JST) までは pnpm install --frozen-lockfile が ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION で失敗します（新しい 7 日ルール自体が正しく機能している証拠でもあります）。

解禁時刻を過ぎてから CI を再実行してください。それまでにローカルで作業する場合は PNPM_CONFIG_MINIMUM_RELEASE_AGE=0 を付けて回避できます。

🤖 Generated with Claude Code

[changeset-bot]

⚠️ No Changeset found

Latest commit: 7f6fdac

Merging this PR will not cause a version bump for any packages. If these changes should not result in a new version, you're good to go. If these changes should result in a version bump, you need to add a changeset.

This PR includes no changesets

When changesets are added to this PR, you'll see the packages that this PR includes changesets for and the associated semver types

Click here to learn what changesets are, and how to add one.

Click here if you're a maintainer who wants to add a changeset to this PR