diff --git "a/docs/02_ENV/ENV_01_\346\212\200\350\241\223\343\202\271\343\202\277\343\203\203\343\202\257.md" "b/docs/02_ENV/ENV_01_\346\212\200\350\241\223\343\202\271\343\202\277\343\203\203\343\202\257.md"
index 986fdde..f310a1c 100644
--- "a/docs/02_ENV/ENV_01_\346\212\200\350\241\223\343\202\271\343\202\277\343\203\203\343\202\257.md"
+++ "b/docs/02_ENV/ENV_01_\346\212\200\350\241\223\343\202\271\343\202\277\343\203\203\343\202\257.md"
@@ -99,6 +99,7 @@
 | `pubspec.yaml` | Dart パッケージとバージョンの管理 |
 | `.vscode/extensions.json` | 推奨 VS Code 拡張機能の定義 |
 | `.vscode/settings.json` | プロジェクト固有の VS Code 設定 |
+| `.github/dependabot.yml` | 依存パッケージの定期更新 PR（Dependabot）の設定 |
 
 **SDK のインストール自動化:**
 
diff --git "a/docs/02_ENV/ENV_03_\347\256\241\347\220\206\350\200\205\347\224\250\347\222\260\345\242\203\346\247\213\347\257\211\346\211\213\351\240\206.md" "b/docs/02_ENV/ENV_03_\347\256\241\347\220\206\350\200\205\347\224\250\347\222\260\345\242\203\346\247\213\347\257\211\346\211\213\351\240\206.md"
index 6e057d1..749089f 100644
--- "a/docs/02_ENV/ENV_03_\347\256\241\347\220\206\350\200\205\347\224\250\347\222\260\345\242\203\346\247\213\347\257\211\346\211\213\351\240\206.md"
+++ "b/docs/02_ENV/ENV_03_\347\256\241\347\220\206\350\200\205\347\224\250\347\222\260\345\242\203\346\247\213\347\257\211\346\211\213\351\240\206.md"
@@ -10,6 +10,26 @@
 
 ※ GitHub CLI（`gh`）が未認証の場合は `gh auth login` を先に実行する．
 
+## Dependabot の有効化 (Enable Dependabot)
+
+**Dependabot alerts**（依存パッケージの既知脆弱性の検出）と **Dependabot security updates**（脆弱性を直す PR の自動作成）は，GitHub のリポジトリごとに**既定で OFF** になっている．有効化しないと脆弱性が一切通知されないため，リポジトリ作成直後に有効化する．
+
+実行にはリポジトリの admin 権限が必要（無い場合は 403 になるので管理者に依頼する）．リポジトリの clone 内で実行すれば `{owner}/{repo}` は `gh` が自動補完する．
+
+```bash
+gh api -X PUT repos/rintoHasegawa/SmTIAS-Capture/vulnerability-alerts      # alerts（依存グラフも同時に有効化される）
+gh api -X PUT repos/rintoHasegawa/SmTIAS-Capture/automated-security-fixes  # security updates
+```
+
+有効化を検証する（冪等なコマンドなので再実行してよい）．
+
+```bash
+gh api repos/rintoHasegawa/SmTIAS-Capture/vulnerability-alerts       # 204 なら有効．404 なら無効
+gh api repos/rintoHasegawa/SmTIAS-Capture/automated-security-fixes   # {"enabled":true,...} なら有効
+```
+
+※ 上記はリポジトリ設定であり，リポジトリ内の `.github/dependabot.yml`（依存バージョンの定期更新 PR の設定）とは別物．両者は独立して動く．Dependabot が作った PR と alert の処理には `/deps-update` を使う．
+
 ## セットアップスクリプトの作成 (Create Setup Script)
 
 メンバーが環境を構築する際に使用するスクリプトを作成し，リポジトリに含める．
@@ -83,6 +103,7 @@
 管理者は以下をすべて完了させてからメンバーに展開する．
 
 - [ ] GitHub リポジトリの作成（private）
+- [ ] Dependabot alerts / security updates の有効化
 - [ ] `scripts/setup.ps1` の作成・動作確認
 - [ ] `.vscode/extensions.json` の作成
 - [ ] `.vscode/settings.json` の作成