chore(infra): adicionar Dependabot para auto-update NuGet + GitHub Actions

[marmota-alpina]

Resumo

Resolve a issue #366 (criada como follow-up do PR #365 quando introduzimos o primeiro prerelease no Directory.Packages.props central). Adiciona configuração Dependabot completa para auto-update de pacotes NuGet e GitHub Actions, com grouping inteligente para reduzir ruído e major bumps sempre manuais.

Decisão: Dependabot vs Renovate

• Dependabot ✅ — nativo do GitHub, zero setup de App na org, suporte completo a Directory.Packages.props central + packages.lock.json em 17 projetos
• Renovate ❌ — mais flexível mas requer instalação da App na org unifesspa-edu-br (decisão de plataforma fora do escopo desta issue)

Mudanças

.github/dependabot.yml (novo)

2 ecosystems: nuget (root) + github-actions (root)

Schedule: semanal, segunda 06:00 BRT (timezone: America/Belem) — antes do daily

Grouping inteligente para reduzir ruído (1 PR consolidado por trem):

Grupo	Patterns
opentelemetry	OpenTelemetry.* + Serilog.Sinks.OpenTelemetry (trem único)
wolverine	WolverineFx*
ef-core	Microsoft.EntityFrameworkCore* + Npgsql*
serilog	Serilog* exceto o sink OTel (já no group opentelemetry)
kafka	Confluent.* + Apache.Avro
testing	xunit + AwesomeAssertions + NSubstitute + Testcontainers + ArchUnitNET + coverlet
github-actions-all	catch-all em 1 PR

Major bumps SEMPRE manuais (ignore: update-types: [\"version-update:semver-major\"]) — Wolverine 5→6, EF Core 10→11, .NET 10→11 exigem revisão arquitetural (release notes, breaking changes, ADR se necessário)

Limites: open-pull-requests-limit: 5 (NuGet) + 2 (Actions) — evita inundação

Labels e commits: chore + deps (NuGet) ou chore + ci (Actions); commit prefix chore(deps): / chore(ci): (Conventional Commits-friendly conforme docs/guia-commits-e-integracao.md)

CONTRIBUTING.md

Nova seção "Auto-update de dependências (Dependabot)" entre Dependências proibidas e Checklist antes de pedir merge. Explica:

• Como funciona (schedule, grouping, major bumps)
• Tratamento dos PRs do bot (CI verde primeiro, auto-merge condicional para patches sem CVE, validação local opcional para deps sensíveis)
• Como adicionar um novo grupo

Validação

```bash
python3 -c "import yaml; yaml.safe_load(open('.github/dependabot.yml'))" # OK
```

GitHub valida o schema do dependabot.yml automaticamente após o merge — se houver erro de sintaxe, aparece em Insights → Dependency graph → Dependabot.

Próximos passos pós-merge

1. Esperar primeira execução automática (próxima segunda 06:00 BRT após merge) — Dependabot abre os PRs agrupados
2. Calibrar se algum grupo gerar muito ruído ou ficar isolado por engano
3. Considerar setup análogo em uniplus-web e uniplus-developers (issues separadas se aplicável)

Closes #366

[jf2s]

Aprovado.

PR mecânico (YAML config + doc) que resolve gap pré-existente do repo. CI 5/5 verde. Codex skipou (esperado em PRs YAML/Markdown sem código produtivo).

Pontos validados:

• YAML schema parseado por python yaml.safe_load antes do push
• exclude-patterns em group é feature documentada do Dependabot (group serilog exclui o sink OTel para evitar ambiguidade com group opentelemetry)
• update-types: [\"version-update:semver-major\"] no ignore bloqueia majors do auto-update mas NÃO bloqueia security advisories — esses vêm como Dependabot security updates separados que respeitam o ignore só para version updates, não para vulnerabilidades
• timezone America/Belem (Pará — UTC-3 sem DST) está consistente com a Unifesspa; America/Sao_Paulo daria offset diferente em períodos hipotéticos de DST mas hoje ambos retornam UTC-3
• Documentação encaixada na ordem certa do CONTRIBUTING.md (entre Dependências proibidas e Checklist), explicando schedule + grouping + tratamento dos PRs do bot

Pontos positivos:

• Commit message detalhado com decisão Dependabot vs Renovate ancorada e justificada
• Grouping pensado por trem técnico — reduz drasticamente ruído (1 PR opentelemetry em vez de 5+ PRs separados)
• Major bumps explícitos como manual — alinha com a prática estabelecida do repo de revisar Wolverine/EF Core/.NET com cuidado arquitetural
• open-pull-requests-limit separados por ecosystem (5 NuGet + 2 Actions) — evita inundação sem subutilizar Actions

Sem findings. Pode mergear para fechar #366.