security: enable Dependabot dependency auditing (C5)

[ardiyu07]

概要

.github/dependabot.yml を追加し、依存パッケージと GitHub Actions の自動監査を有効化します。upbond-executives#49 (C5) の一部です。

背景

依存の脆弱性や不審な更新を自動検知できなければ、改ざんの混入に気づけません（ギャップG6）。特に SDK 配布事業者として、推移的依存からの混入は顧客資産に直結します。

設定内容

• npm — このリポジトリに実在する package.json の場所を検出して指定しています（モノレポは複数ディレクトリ）
• github-actions — Actions 自身の更新も監査対象。サプライチェーンの入口になるため
• weekly / open-pull-requests-limit: 5 — 一度に大量の PR が出てレビュー不能になるのを防ぐ設定です

導入前の状況

稼働60リポジトリ中、dependabot 設定があったのは 2件のみでした（torus-backend / upbond-openlogin）。

⚠️ 残作業

GitHub Actions の SHA 固定（pinned actions）は本PRに含まれていません。

調査時点で 27 workflow・87箇所の uses: を確認しましたが、SHA 固定は0件（すべてタグ参照）でした。タグは可変であり、上流が書き換われば pin の意味を成しません。

ただし87箇所を一括変換すると、壊れた場合の切り分けが困難になるため別PRに分離します。

関連

• upbond-executives#49 (C5)