Vercelは2026年7月9日、デプロイ時のビルドログで「Sensitive」に指定した環境変数の値を自動で伏せる機能を発表しました。値は[REDACTED]という表示へ置き換わります。
Vercelビルドログ秘匿機能の3行まとめ
今回の変更の要点は、次の3点です。
- 「Sensitive」指定かつ32文字以上の値をビルドログで秘匿
- 値は[REDACTED]に置換しビルドログに秘匿の発生を表示
- 秘匿の事実はActivity Logに記録し値そのものは残さず
本記事は公表時点の情報にもとづきます。仕様や提供状況、料金は変わる可能性があります。
導入や利用を判断する際は、各自の責任で公式情報の最新の内容をご確認ください。
設定変更やアップデートを行う場合は、必ず事前にバックアップを取得し、検証環境で確認したうえで実施してください。
機密環境変数の値がビルドログで[REDACTED]に置き換わる仕組み
環境変数(APIキーなどをコードの外で管理する設定値)を「Sensitive」に指定すると、作成後に値を読み出せないよう保護できます。今回の機能では、この指定に加えて値が32文字以上でビルド出力に現れると、その箇所が[REDACTED]へ置き換わります。
- 対象は「Sensitive」指定済みの環境変数
- 値が32文字以上でビルド出力に現れる場合
- 該当箇所の表示は[REDACTED]に置換
Build Logsの画面には秘匿が行われたことが表示されます。出力がマスクされた理由を、値を見せずにチームへ伝える仕組みです。
秘匿の事実はActivity Logに記録として残る
値を秘匿した際、Vercelは環境変数のキー名とプロジェクト、対象のデプロイをActivity Log(操作や変更を残す監査ログ)へ記録します。ただし値そのものは記録しません。
- 記録する項目は環境変数のキー名
- 対象のプロジェクトとデプロイ
- 値そのものは記録の対象外
また、デプロイのセキュリティに用いるVERCEL_AUTOMATION_BYPASS_SECRETとVERCEL_OIDC_TOKENは、値の長さに関わらず常に秘匿されます。監査に必要な記録を残しつつ、値の露出を防ぐ設計です。
Vercelビルドログ秘匿機能の概要
| 項目 | 詳細 |
|---|---|
| 提供元 | Vercel |
| 発表日 | 2026年7月9日 |
| Sensitive変数の秘匿条件 | 指定済みかつ値が32文字以上でログ出力 |
| ビルドログ上の表示 | [REDACTED] |
| システム変数の扱い | 一部は長さ不問で常に秘匿 |
| 記録先 | Activity Log(キー名・プロジェクト・デプロイ) |
| 参考 | Vercel公式 |
trends編集部の一言
CI/CDのビルドログはチーム内で広く共有されやすく、APIキーなどが平文で残ると漏えいの起点になりかねません。値を[REDACTED]へ置き換える今回の変更は、こうした漏えいのリスクを下げる実務的な一歩です。
秘匿を働かせるには、対象の環境変数を「Sensitive」に指定しておく必要があります。この指定はPreview環境とProduction環境でのみ可能で、既存の変数は一度削除して再登録します。
機密値を扱うプロジェクトでは、キーの棚卸しとあわせて設定を見直しておくとよいでしょう。どの変数を「Sensitive」に指定済みかは、プロジェクトの環境変数の設定画面で一覧を確認できます。
References
- ^ Vercel. 「Build logs now redact Sensitive Environment Variable values」. https://vercel.com/changelog/build-logs-now-redact-sensitive-environment-variable-values, (参照 2026-07-10).
- ^ Vercel. 「Sensitive environment variables」. https://vercel.com/docs/environment-variables/sensitive-environment-variables, (参照 2026-07-10).
※本記事は公式発表を基に編集しています。内容はAIで確認していますが、誤りや最新情報との差異がある場合はコメントよりご報告ください。
