title: 環境変数・シークレット管理 icon: 🔐 card_desc: パスワードやAPIキーをコードに直接書かない仕組み — .env・環境変数の基本・本番秘匿情報の守り方 slug: 04-env-secrets

04 環境変数・シークレット管理 — パスワードやAPIキーをコードに直接書かない仕組み

一言でいうと

環境変数（environment variable） は、プログラムの外側にある設定値を差し込む仕組みです。シークレットは、その中でも他人に見られてはいけない秘密の値（APIキー・パスワード・トークン等）。基本原則は「コードに書かない・Gitに入れない・本番では専用の保管場所を使う」の3点に尽きます。

1. なぜ「コードに直接書いたらダメ」なのか

たとえば、こんなコードを書いてGitHubにpushしたとしましょう：

# ❌ 絶対やってはいけない例
API_KEY = "sk-1234567890abcdef"        # あなたのAPIキー
DB_PASSWORD = "my_secret_password"     # 本番DBのパスワード
STRIPE_SECRET = "sk_live_xxxxx"        # 本番決済キー

数分以内に起きること:

1. GitHubの自動ボットがAPIキーをスキャンし、アラートが届く
2. 不正アクセスされ、キーを悪用される
3. あなたのアカウントに高額な不正請求が来る
4. 場合によっては法的責任を問われる

2. 環境変数 —— コードの外側で設定を差し込む

基本概念

環境変数は、プログラムの実行時にOSから渡される「外側の設定値」です。コードの中身を書き換えずに、振る舞いを変えられるのが最大の利点。

┌──────────────────────┐
│ OS / 実行環境          │
│   DATABASE_URL=...    │  ← ここに設定値がある
└──────────┬───────────┘
           │ 起動時に読み込まれる
           ↓
┌──────────────────────┐
│ あなたのプログラム      │
│   DB_URL = os.environ │  ← コードは「キー名」だけ知っている
│              ["DB_URL"]│     「値」は外側にある
└──────────────────────┘

なぜこの仕組みが必要か

3. .env ファイル —— ローカル開発での「設定メモ」

実際の開発現場では、.env ファイルがよく使われます。これは「環境変数をまとめた設定ファイル」で、Gitには入れない前提です。

.env ファイルの例

# .env （ローカル開発用・絶対にGitに入れない）
DATABASE_URL=postgresql://localhost/mydb
STRIPE_API_KEY=sk_test_xxxxxxxx
JWT_SECRET=development-only-secret
NODE_ENV=development

.gitignore の設定

# .gitignore
.env
.env.local
.env.*.local
*.pem
*.key

.env 系のファイルをGit追跡から完全除外します。

.env.example —— 「雛形だけGitに置く」

# .env.example （雛形・Git OK・値は空欄）
DATABASE_URL=
STRIPE_API_KEY=
JWT_SECRET=
NODE_ENV=development

「こんな変数が必要ですよ」という目印だけを共有し、値は各自で埋める運用。

プログラムからの読み込み

# Python の例（python-dotenv ライブラリ）
from dotenv import load_dotenv
import os

load_dotenv()  # .env を読み込む

db_url = os.environ["DATABASE_URL"]                  # 必須（未設定なら KeyError）
api_key = os.environ.get("STRIPE_API_KEY", "")      # デフォルト値あり

// Node.js の例（CommonJS）
require('dotenv').config();

const dbUrl = process.env.DATABASE_URL;
const apiKey = process.env.STRIPE_API_KEY;

// Node.js の例（ESM・現行主流）
import dotenv from 'dotenv';
dotenv.config();

const dbUrl = process.env.DATABASE_URL;
const apiKey = process.env.STRIPE_API_KEY;

4. 🔑 本番環境でのシークレット管理

ローカル開発は .env で十分ですが、本番環境はもっとしっかりした仕組みが必要です。

本番での典型的な保管場所

なぜ「.env を本番に置かない」のか

本番シークレットマネージャーは、暗号化・アクセス制御・監査ログ・自動ローテーションを備えています。「ちゃんと保管する」とはこのレベルを指します。

5. やってはいけない・やっておくべき

❌ やってはいけない

✅ やっておくべき

6. 🔑 環境変数で「うっかり上書き」する設計の落とし穴

環境変数は便利ですが、落とし穴も理解しておく必要があります。

「設定値が反映されない」三大パターン

12-Factor App の「設定の厳格な分離」

設定値の扱いを3種類に分けて考えます：

「.env はローカル専用」「本番は専用シークレットマネージャー」を鉄則にすると、漏洩リスクが激減します。

7. 面接・実務での意味

この質問は、単に「どこに保存しているか」を聞いているのではありません。**「漏洩リスクを理解し、適切な手段で守っているか」**を聞いています。

• .gitignore で除外しているか
• 本番は専用シークレットマネージャーを使っているか
• キーにはスコープ・権限制限があるか
• ローテーション・モニタリングの運用があるか
• 漏洩検知・緊急対応の手順があるか

これらを自觉して運用できることが、「シークレットを理解している」エンジニアの証です。

まとめ

• 環境変数はコードの外側で設定値を差し込む仕組み。コードと設定の分離が目的
• シークレットは環境変数の中でも秘匿すべき値（APIキー・パスワード）
• 基本原則: コードに書かない・Gitに入れない・本番は専用シークレットマネージャー
• .env ファイルはローカル開発の道具。.gitignore で除外・.env.example で雛形共有
• 本番: AWS Secrets Manager / GCP Secret Manager / Vercel Env Vars など、暗号化・アクセス制御・監査ログ付きの保管場所を使う
• 漏洩リスク対策: スコープ最小化・ローテーション・モニタリング・漏洩検知
• .env は本番に置かない。本番は専用マネージャーで安全保管