# Vercelの本番デプロイ保護が全プラン無料に - 変更点と有効化前に確認すべきこと 元のページ: セキュリティ 2026.09.11 2026年9月9日、Vercel は Vercel Authentication による本番ドメインの保護を、追加費用なしで全プランに開放しました。これまで本番 URL を非公開にするには月額150ドルの Advanced Deployment Protection アドオンが必要でしたが、現在はプロジェクト設定で「All Deployments」を選ぶだけで済みます。社内ツール、公開前のサイト、常時アクセス制限をかけたい管理画面を Vercel に置いているなら、まず設定画面を開いて保護スコープを確認するのが最短の対応です。 ## 何が無料になったのか 変更の中身は3点です。 - **本番ドメインの保護（All Deployments スコープ）が全プランで無料**。有効化すると、独自ドメインの `example.com` も `my-project-1234.vercel.app` のような生成 URL も、プロジェクトへのアクセス権を持つ Vercel アカウントでサインインしないと開けなくなります。 - **Deployment Protection Exceptions も全プランで無料**。プロジェクト全体を保護したまま、特定のプレビュードメインだけを公開する例外設定ができます。 - **Pro の Password Protection がプロジェクト単位で購入可能に**。従来はチーム全体でアドオンを買う必要がありましたが、現在は保護するプロジェクトごとに月20ドルです（Enterprise はチーム単位で込み、Hobby では利用不可）。 従来のアドオンは30日間の最低利用期間があり、「1つのステージング環境を隠したいだけ」でも月150ドルを負担する構造でした。その前提が崩れたことが、実務上いちばん大きな変化です。 ## 有効化の手順 1. ダッシュボードで対象プロジェクトを開く 2. サイドバーの **Security**（Settings）から **Deployment Protection** を選ぶ 3. スコープのドロップダウンで **All Deployments** を選択する チーム設定でデフォルトを指定しておけば、新規プロジェクトが最初から Vercel Authentication + 任意のスコープで作られます。案件ごとに新しいプロジェクトを作る受託開発では、個別設定の漏れを防ぐ意味でチームデフォルトの効果が大きいです。プロジェクト側で上書きもできます。 なお公式ドキュメントには「All Deployments は Pro / Enterprise のみ」と書かれた記述が残っているページもあります。変更が新しいため、実際に選べるかはダッシュボードの表示で確認してください。 ## スコープと方式の選び方 Deployment Protection は「どう守るか（方式）」と「どこまで守るか（スコープ）」の組み合わせで決まります。 スコープは主に2つです。**Standard Protection** は本番ドメイン以外のすべて（プレビューと生成 URL）を保護し、本番は公開のまま。**All Deployments** は本番ドメインを含むすべてを保護します。公開サイトを運用中なら Standard、公開前サイトや社内ツールなら All Deployments、という切り分けになります。 方式は次の通りです。 - **Vercel Authentication**（全プラン・無料）: Vercel アカウントでのサインインを要求。閲覧者がプロジェクトへのアクセス権を持つ必要があります。 - **Password Protection**（Pro は月20ドル/プロジェクト、Enterprise は込み）: 共有パスワードで通す方式。Vercel アカウントを持たない相手に見せる場合の選択肢です。 - **Passport**（Enterprise）: Okta や Auth0 など OpenID Connect 対応の IdP で認証。 - **Trusted IPs**（Enterprise）: 許可した IPv4 アドレスからのみアクセス可能。本番だけを IP 制限したい場合はこれを使います。 ここが実務での分岐点です。無料化されたのは Vercel Authentication であり、これは**社外のクライアントやデザイナーには使えません**。相手に Vercel アカウントとプロジェクトへの権限がなければ、サインインしてもアクセス要求画面に飛びます。レビュー用に外部へ URL を渡す運用なら、Shareable Links、Deployment Protection Exceptions、あるいは Password Protection のいずれかを併用する設計が必要です。Vercel Authentication と Password Protection は同時に有効化できます。 ## 有効化前に確認すべき副作用 Deployment Protection は Vercel のエッジで、アプリケーションコードより手前に動きます。Routing Middleware への通信も含め、すべてのリクエストに認証が要求されます。カバー範囲が広い反面、次のような通信が 401 で落ちます。 - **外部からの Webhook**: 決済・CMS・フォームなどからの POST が届かなくなります。 - **CORS プリフライト**: ブラウザはプリフライトにバイパスヘッダーを付けられません。OPTIONS Allowlist に `/api` のようなパス接頭辞を登録して回避します（前方一致）。 - **E2E テストや CI**: Protection Bypass for Automation を使います。シークレットは `VERCEL_AUTOMATION_BYPASS_SECRET` として自動で環境変数に入り、`x-vercel-protection-bypass` ヘッダー（またはクエリパラメータ）で送ります。ツールごとに複数のシークレットを発行でき、片方だけ失効させることも可能です。 - **サーバー間 fetch**: `VERCEL_URL` や `VERCEL_BRANCH_URL` を使った自己参照 fetch は、保護後にそのままでは通りません。クライアント側は相対パスに、サーバー側はリクエスト元のオリジンと Cookie を引き継ぐ形に書き換えます（OGP 画像生成など絶対 URL が必要な処理は実ドメインを指定）。 本番ドメインを保護すると、SNS のカード生成や外部の URL プレビュー、検索エンジンのクロールも当然通りません。公開前サイトではむしろ望ましい挙動ですが、「公開直前に保護を外したら OGP が想定と違う」といった事故を避けるため、解除後の確認手順まで含めて段取りを決めておくと安全です。 ## Hobby プランで使う場合の前提 本番保護が Hobby でも使えるようになったとはいえ、Hobby プランは個人利用・非商用が条件です。クライアント案件のステージング環境を Hobby に置くのは規約上の前提を外れます。受託や社内業務で使うなら Pro 以上を選び、そのうえで「Vercel Authentication は無料、パスワード方式は月20ドル/プロジェクト」というコスト構造で判断するのが実態に合っています。 ## 今すぐ見直すとよいプロジェクト 次に当てはまるものがあれば、設定を確認する価値があります。 - アドオンの費用を避けるため、Basic 認証をミドルウェアで自前実装しているプロジェクト。エッジ層の保護に置き換えれば、静的アセットや過去の本番デプロイ URL など、ミドルウェアのマッチャーから漏れやすい経路もまとめて塞げます。 - 月150ドルのアドオンを契約したままのチーム。All Deployments と Exceptions だけが目的なら、契約内容の見直し余地があります（アドオンの解約条件は請求画面で確認してください）。 - 公開前サイトを「URL を知らなければ大丈夫」で運用しているプロジェクト。生成 URL は共有経路から漏れます。 設定自体は数クリックですが、実際のリスクは有効化後に Webhook や外部連携が静かに止まることにあります。保護をオンにする前に、外部から自サイトへ入ってくる通信を洗い出し、バイパス方法を先に決めておくのが確実な進め方です。既存サイトの保護方式の整理や、保護環境下での CI・外部連携の設計でお困りの場合は、[お問い合わせ](https://chot-inc.com/contact)からご相談ください。 ## 出典 - [Vercel Changelog: 本番デプロイメントを全プランで無料で保護できるようになりました](https://vercel.com/changelog/protect-production-deployments-for-free-on-every-plan) - [Vercel ドキュメント: Deployment Protection の概要](https://vercel.com/docs/deployment-protection) - [Vercel ドキュメント: デプロイメントを保護する方式](https://vercel.com/docs/deployment-protection/methods-to-protect-deployments) - [Vercel ドキュメント: Vercel Authentication によるアクセス制限](https://vercel.com/docs/deployment-protection/methods-to-protect-deployments/vercel-authentication) - [Vercel ドキュメント: アクセスコントロール](https://vercel.com/docs/security/access-control) - [Vercel Changelog: Pro プランの Password Protection はプロジェクト単位の課金に](https://vercel.com/changelog/password-protection-now-costs-20-per-project-per-month-on-pro) - [Vercel ナレッジベース: デプロイメントにパスワード保護を追加する方法](https://vercel.com/kb/guide/how-do-i-add-password-protection-to-my-vercel-deployment) - [Vercel ドキュメント: Hobby プラン](https://vercel.com/docs/plans/hobby) この記事をシェア ## 最新の記事 [セキュリティ 2026.10.23](https://chot-inc.com/columns/railway-secret-rotation-incident-october-2026) ### [Railwayが全ユーザーにシークレットキーの失効・再発行を要請 — 事実関係と、鍵を回す順番](https://chot-inc.com/columns/railway-secret-rotation-incident-october-2026) [AI最新情報 2026.10.23](https://chot-inc.com/columns/arc-browser-sunset-december-22-dia-migration) ### [Arcブラウザが2026年12月22日に終了 ― 期限までにやることとDia移行の判断基準](https://chot-inc.com/columns/arc-browser-sunset-december-22-dia-migration) [AI最新情報 2026.10.22](https://chot-inc.com/columns/cloudflare-os-managed-github-gmail) ### [Cloudflare OS がマネージド提供へ — GitHub 接続と Gmail 連携強化で何ができるようになったか](https://chot-inc.com/columns/cloudflare-os-managed-github-gmail) [コラム一覧](https://chot-inc.com/columns)