設定レビュー · Vercel / Next.js
Vercel のセキュリティ設定と、Next.js のデプロイ境界のレビュー
見るのは「Vercel が安全か」ではなく、あなたのプロジェクトの設定と、それに乗る Next.js のコードの境目です。Preview に本番の鍵が入っていないか、プレビュー URL が誰にでも開けないか、個人ごとのレスポンスが CDN にキャッシュされないか。ダッシュボードの設定とリポジトリを突き合わせて確かめます。
料金: スポット診断 ¥98,000〜 / 標準監査 ¥280,000〜
Vercel の設定だけでアプリが安全になるわけではありません。 Firewall や Deployment Protection は入口を守る仕組みで、認可の誤りはアプリのコードで直す必要があります。両方を見ます。
見るところ
何を確認するか
2026年10月時点の Vercel 公式ドキュメントの機能名と既定値で確認します。プランによって使えない機能は、代わりの手段を含めて提案します。
環境変数と環境の分離
- Production / Preview / Development に入っている値の重なり（Preview に本番の鍵が入っていないか）
- Config と Secret（書き込み専用）の使い分けと、本番だけ別の値にする設定
NEXT_PUBLIC_の付いた変数がブラウザに配られるコードへ埋め込まれていないか- 長期の鍵の代わりに OIDC Federation で AWS / GCP に接続できるか
デプロイの保護と Git 連携
- Deployment Protection の範囲（新規プロジェクトの既定は本番ドメイン以外を守る Standard Protection）
- Protection Bypass for Automation の秘密の管理と、Shareable Links の配り方
- フォークからの PR の扱い（Git Fork Protection）と、検証済みコミットの要求
- ビルドログとソースの公開範囲
Next.js のデプロイ境界
- Server Actions と Route Handlers を公開 API として扱っているか（認証・認可を関数ごとに確認しているか）
- Proxy（旧 middleware）だけで認可していないか
- 個人ごとのレスポンスが CDN にキャッシュされうる
Cache-Controlになっていないか - CSP などのセキュリティヘッダー（Vercel が既定で付けるのは HSTS）
入口の防御と運用
- Firewall のカスタムルールとレート制限、Attack Mode を使う手順
- Cron の
CRON_SECRETによる保護と、同じ実行が2回起きても壊れない作り - Webhook の署名検証
- ログに秘密情報や個人情報を書き出していないか、保持期間とドレイン先
タイミング
見直すべきとき
プレビュー URL を社外に共有し始める前
既定の保護範囲と共有の仕組みを決めてから配ります。
本番のデータベースや決済の鍵を入れる前
どの環境にどの値が入るかを、最初に分けておく方が安く済みます。
Cron や Webhook を足すとき
誰でも叩ける URL にならないよう、秘密の検証を入れます。
チームメンバーや外部委託先が増えたとき
誰が本番の設定を変えられるか、誰がログを見られるかを見直します。
やらないこと・限界
- Vercel 社のインフラやプラットフォームそのものの安全性は評価しません。利用者側の設定とコードが対象です。
- Enterprise プランでしか使えない機能（Trusted IPs・監査ログなど）を前提にした設計を、他のプランに押し付けません。
- 負荷試験や DDoS の再現は行いません。
担当者
誰が見るのか
監査を承るのは 友田 陽大（フリーランスのフルスタックエンジニア）です。肩書きではなく、公開している調査・ツール・実績で判断してください。
Supabase RLS の実地調査（公開リポジトリ1,000件）
公開リポジトリを静的解析し、RLS を設定済みの994件のうち9.2%（91件）に「ログインは確かめるが、行を持ち主で絞らない」ポリシーがあることを、該当する235件をすべて手で確かめたうえで公開しました。
OSS のセキュリティツールキット Aegis
Next.js / Supabase 向けのスキャナと防御の部品を MIT ライセンスで公開しています。監査で使う自動検出の一部は、誰でも手元で試せます。
経済産業大臣賞の B2B SaaS（木材流通）
単独開発全221APIの認証欠落0件を、4ラウンドの自主セキュリティ監査（静的監査→ライブ診断→ペネトレーション）で実証し、テナントをまたぐ個人情報の漏洩などの重大な指摘をすべて修正しました。
放送事業者の社内AI基盤
チーム開発個人情報の暗号化保存・監査ログ・WAF・鍵を置かない CI/CD を、後付けではなく初期設計から組み込みました。
料金
料金の目安
既存の監査プランの段階で承ります。表示額は税別の「から」の目安で、プロジェクト数・チームの構成・アプリ側のレビューを含めるかで見積もります。
スポット診断
Vercel の設定（環境変数・保護範囲・Git 連携・Firewall・Cron）を棚卸しし、リスクを優先度つきで知りたい
期間: 約1週間
¥98,000〜税別
標準監査
設定に加えて、Server Actions・Route Handlers・キャッシュなど Next.js 側の認可とデプロイ境界まで見てほしい
期間: 約2〜3週間
¥280,000〜税別
設定の修正やヘッダー・Firewall ルールの実装まで任せたい場合は、相談の中で範囲を決めて見積もります。
よくある質問
Vercel にデプロイしていれば、セキュリティは Vercel が見てくれるのでは？
インフラや DDoS の緩和は Vercel 側の責任ですが、公式ドキュメントの責任共有モデルのとおり、環境変数・アクセス制御・機密情報の扱い・アプリのコードは利用者の責任です。このレビューはその利用者側を対象にします。
何を用意すればよいですか？
Vercel のチームに設定を閲覧できる権限で招待していただくか、画面共有で一緒に確認します。リポジトリの閲覧権限もあれば、Next.js 側の境界まで見られます。環境変数の値そのものを渡していただく必要はありません。秘密保持契約（NDA）は、相談の前から結べます。
何が納品されますか？
設定ごとの現状・リスク・推奨をまとめた、優先順位つきの報告書です。どの画面のどの設定をどう変えるかまで書くので、そのまま社内で直せます。修正の作業まで任せたい場合は、相談の中で範囲を決めます。
Hobby プランでも見てもらえますか？
はい。プランごとに使える機能は違うので、そのプランで使える設定と、コード側で補う方法を分けて提案します。上位プランへの移行を前提にはしません。
費用はいくらですか？
Vercel の設定の棚卸しと優先度つきの報告がスポット診断（税別¥98,000〜）、Next.js 側の認可とデプロイ境界まで含めると標準監査（税別¥280,000〜）の段階です。プロジェクト数と範囲で見積もります。
設定を1つずつ開く前に、30分で範囲を決めましょう
プロジェクトの数、使っているプラン、守りたいもの（本番の鍵・顧客データ・プレビュー）を伺って、何から見るべきかを整理します。
秘密保持契約（NDA）は、相談の前から結べます。