¿Cómo decides qué fijar y cómo mantienes las dependencias al día?

Fija versiones exactas en el fichero de lock y mantén los rangos declarados en pyproject relativamente permisivos. Eso te da instalaciones reproducibles sin cerrarte la puerta a las actualizaciones. Automatiza las subidas con un bot que abra pull requests pequeños, deja que CI decida si son seguros, y trata los avisos de seguridad como una vía propia que se salta la cola en lugar de esperar al siguiente lote.

Son dos trabajos distintos, así que hay dos respuestas distintas. El fichero de lock fija versiones y hashes exactos, y eso es lo que instalan CI y producción, así que los builds son reproducibles y que ayer el pipeline estuviera en verde significa algo. Las restricciones declaradas en pyproject se quedan amplias, normalmente solo un mínimo más un tope en la siguiente versión mayor, para que las subidas sean posibles sin editar cada línea. Mantenerse al día es la mitad más difícil. Tenemos un bot automatizado que abre un pull request por dependencia con cadencia semanal, y como son pequeños y la suite es decente, la mayoría se mergean en verde sin que nadie tenga que pensar mucho. Los saltos de versión mayor se leen con calma. Los avisos de seguridad se saltan la cadencia por completo, y pip-audit corre en CI para que una dependencia transitiva con vulnerabilidad conocida tumbe el build en vez de quedarse ahí sin que nadie la vea. El modo de fallo que he sufrido es el contrario: un servicio congelado dos años, y luego un aviso crítico de Django obligando a subir cuatro versiones mayores en un fin de semana.