chot Inc.（ちょっと株式会社）

Vercelの本番デプロイ保護が全プラン無料に - 変更点と有効化前に確認すべきこと

セキュリティ

2026年9月9日、Vercel は Vercel Authentication による本番ドメインの保護を、追加費用なしで全プランに開放しました。これまで本番 URL を非公開にするには月額150ドルの Advanced Deployment Protection アドオンが必要でしたが、現在はプロジェクト設定で「All Deployments」を選ぶだけで済みます。社内ツール、公開前のサイト、常時アクセス制限をかけたい管理画面を Vercel に置いているなら、まず設定画面を開いて保護スコープを確認するのが最短の対応です。

何が無料になったのか

変更の中身は3点です。

  • 本番ドメインの保護（All Deployments スコープ）が全プランで無料。有効化すると、独自ドメインの example.com も my-project-1234.vercel.app のような生成 URL も、プロジェクトへのアクセス権を持つ Vercel アカウントでサインインしないと開けなくなります。
  • Deployment Protection Exceptions も全プランで無料。プロジェクト全体を保護したまま、特定のプレビュードメインだけを公開する例外設定ができます。
  • Pro の Password Protection がプロジェクト単位で購入可能に。従来はチーム全体でアドオンを買う必要がありましたが、現在は保護するプロジェクトごとに月20ドルです（Enterprise はチーム単位で込み、Hobby では利用不可）。

従来のアドオンは30日間の最低利用期間があり、「1つのステージング環境を隠したいだけ」でも月150ドルを負担する構造でした。その前提が崩れたことが、実務上いちばん大きな変化です。

有効化の手順

  1. ダッシュボードで対象プロジェクトを開く
  2. サイドバーの Security（Settings）から Deployment Protection を選ぶ
  3. スコープのドロップダウンで All Deployments を選択する

チーム設定でデフォルトを指定しておけば、新規プロジェクトが最初から Vercel Authentication + 任意のスコープで作られます。案件ごとに新しいプロジェクトを作る受託開発では、個別設定の漏れを防ぐ意味でチームデフォルトの効果が大きいです。プロジェクト側で上書きもできます。

なお公式ドキュメントには「All Deployments は Pro / Enterprise のみ」と書かれた記述が残っているページもあります。変更が新しいため、実際に選べるかはダッシュボードの表示で確認してください。

スコープと方式の選び方

Deployment Protection は「どう守るか（方式）」と「どこまで守るか（スコープ）」の組み合わせで決まります。

スコープは主に2つです。Standard Protection は本番ドメイン以外のすべて（プレビューと生成 URL）を保護し、本番は公開のまま。All Deployments は本番ドメインを含むすべてを保護します。公開サイトを運用中なら Standard、公開前サイトや社内ツールなら All Deployments、という切り分けになります。

方式は次の通りです。

  • Vercel Authentication（全プラン・無料）: Vercel アカウントでのサインインを要求。閲覧者がプロジェクトへのアクセス権を持つ必要があります。
  • Password Protection（Pro は月20ドル/プロジェクト、Enterprise は込み）: 共有パスワードで通す方式。Vercel アカウントを持たない相手に見せる場合の選択肢です。
  • Passport（Enterprise）: Okta や Auth0 など OpenID Connect 対応の IdP で認証。
  • Trusted IPs（Enterprise）: 許可した IPv4 アドレスからのみアクセス可能。本番だけを IP 制限したい場合はこれを使います。

ここが実務での分岐点です。無料化されたのは Vercel Authentication であり、これは社外のクライアントやデザイナーには使えません。相手に Vercel アカウントとプロジェクトへの権限がなければ、サインインしてもアクセス要求画面に飛びます。レビュー用に外部へ URL を渡す運用なら、Shareable Links、Deployment Protection Exceptions、あるいは Password Protection のいずれかを併用する設計が必要です。Vercel Authentication と Password Protection は同時に有効化できます。

有効化前に確認すべき副作用

Deployment Protection は Vercel のエッジで、アプリケーションコードより手前に動きます。Routing Middleware への通信も含め、すべてのリクエストに認証が要求されます。カバー範囲が広い反面、次のような通信が 401 で落ちます。

  • 外部からの Webhook: 決済・CMS・フォームなどからの POST が届かなくなります。
  • CORS プリフライト: ブラウザはプリフライトにバイパスヘッダーを付けられません。OPTIONS Allowlist に /api のようなパス接頭辞を登録して回避します（前方一致）。
  • E2E テストや CI: Protection Bypass for Automation を使います。シークレットは VERCEL_AUTOMATION_BYPASS_SECRET として自動で環境変数に入り、x-vercel-protection-bypass ヘッダー（またはクエリパラメータ）で送ります。ツールごとに複数のシークレットを発行でき、片方だけ失効させることも可能です。
  • サーバー間 fetch: VERCEL_URL や VERCEL_BRANCH_URL を使った自己参照 fetch は、保護後にそのままでは通りません。クライアント側は相対パスに、サーバー側はリクエスト元のオリジンと Cookie を引き継ぐ形に書き換えます（OGP 画像生成など絶対 URL が必要な処理は実ドメインを指定）。

本番ドメインを保護すると、SNS のカード生成や外部の URL プレビュー、検索エンジンのクロールも当然通りません。公開前サイトではむしろ望ましい挙動ですが、「公開直前に保護を外したら OGP が想定と違う」といった事故を避けるため、解除後の確認手順まで含めて段取りを決めておくと安全です。

Hobby プランで使う場合の前提

本番保護が Hobby でも使えるようになったとはいえ、Hobby プランは個人利用・非商用が条件です。クライアント案件のステージング環境を Hobby に置くのは規約上の前提を外れます。受託や社内業務で使うなら Pro 以上を選び、そのうえで「Vercel Authentication は無料、パスワード方式は月20ドル/プロジェクト」というコスト構造で判断するのが実態に合っています。

今すぐ見直すとよいプロジェクト

次に当てはまるものがあれば、設定を確認する価値があります。

  • アドオンの費用を避けるため、Basic 認証をミドルウェアで自前実装しているプロジェクト。エッジ層の保護に置き換えれば、静的アセットや過去の本番デプロイ URL など、ミドルウェアのマッチャーから漏れやすい経路もまとめて塞げます。
  • 月150ドルのアドオンを契約したままのチーム。All Deployments と Exceptions だけが目的なら、契約内容の見直し余地があります（アドオンの解約条件は請求画面で確認してください）。
  • 公開前サイトを「URL を知らなければ大丈夫」で運用しているプロジェクト。生成 URL は共有経路から漏れます。

設定自体は数クリックですが、実際のリスクは有効化後に Webhook や外部連携が静かに止まることにあります。保護をオンにする前に、外部から自サイトへ入ってくる通信を洗い出し、バイパス方法を先に決めておくのが確実な進め方です。既存サイトの保護方式の整理や、保護環境下での CI・外部連携の設計でお困りの場合は、お問い合わせからご相談ください。

出典

この記事をシェア

最新の記事

セキュリティ

Figmaのファイルデータを日本国内に保存できるように — 対象範囲と導入時の確認点

AI最新情報

Miroを買収したBending Spoonsとは何者か　買収の中身と、利用中のチームが今確認すべきこと

開発

SaaS業界で広がるFDEとは──注目されている理由と求められるスキルを徹底解剖（前編）

コラム一覧