読了時間 6分

エンジニアに頼む前に用意する5つ — 返事が「いつ空いてますか」から「ここが危ない」に変わる

エンジニアに「見てほしい」と頼むとき用意するのは5つ。公開URL、コードの読み取り権限、テスト用アカウント3つ、「何を扱うアプリか」の一文とデータの種類、外部サービスと環境変数の名前一覧。送ってはいけないものと、そのまま送る依頼文。

動画で見る

結論から

エンジニアに「見てほしい」と頼むとき、最初の返事を「いつ空いていますか」ではなく「ここが危ないので、こう直します。概算は〜」にするために、用意するものは5つです。全部そろえて1時間、そろえるだけで返事の質と速さが変わります。

この記事で伝えたいのは、この一点だけです。

  1. 公開URL（本番のもの。ローカルやプレビューではなく）
  2. コードの読み取り権限（GitHub のリポジトリ招待、または AI ツールのプロジェクト共有）
  3. テスト用アカウント3つ（一般ユーザー2人＋管理者1人。本物のデータは入れない）
  4. 「何を扱うアプリか」の一文と、扱うデータの種類（氏名・メール・決済・本人確認書類…）
  5. 使っている外部サービスと環境変数の名前一覧（値＝キーそのものは送らない）

これに前回の「20項目のうち自分で確認した10項目の◯✗メモ」を添えると、依頼として完成です。

動画版（約2分半）は本文の上に埋め込んであります。

① なぜ5つなのか：エンジニアが最初にやることの逆算

レビューを頼まれたエンジニアが最初の30分にやることは、だいたい決まっています。公開URLをシークレットウィンドウで開く。コードを検索してキーを探す。別のアカウントでログインして他人のデータが見えないか試す。どんなデータを扱うかで見る深さを決める。外部サービスの一覧から、漏れたときの影響を見積もる。

5つは、この作業の入口です。1つ欠けるごとに「〜をもらえますか」の往復が1回増え、返事が1日遅れます。

頼む前に用意する5つ

② 5つの中身と、用意のしかた

1. 公開URL（本番）

ローカル（localhost）やプレビューではなく、実際にユーザーが使うURL。まだ公開していないなら、公開予定のURLか、ステージング（本番と同じ設定の確認用）を用意します。「動作確認はローカルでしました」は、本番とは別物です。環境変数もストレージの設定も、本番でしか確かめられません。

2. コードの読み取り権限

GitHub なら、相手のアカウントを Read 権限で招待します（Settings → Collaborators）。Lovable / Bolt / v0 なら、プロジェクトの共有か、GitHub 連携でリポジトリを出します。zip で送るのは避けてください。Git の履歴（キーが残っていないか）が見られません。

3. テスト用アカウント3つ

一般ユーザーを2人（Aさん・Bさん）、管理者を1人。「AさんでログインしてBさんのデータが見えるか」「一般ユーザーで /admin が開くか」を試すためです。本物の顧客データは入れないでください。ダミーの氏名・メールで十分です。パスワードは依頼文に書かず、別の経路（パスワード管理ツールの共有、1回限りのメッセージ）で渡します。

4. 「何を扱うアプリか」の一文と、データの種類

例：「美容室の予約アプリ。氏名・メール・電話番号・来店履歴・本人確認書類の画像を扱う。決済は Stripe。」この一文で、エンジニアは「本人確認書類の画像 → ストレージの公開設定を最優先で見る」「決済 → 金額をサーバー側で再計算しているか」と、見る順番を決められます。データの種類は、多いほど正確に伝えてください。「個人情報は扱っていません」と書いて、あとからメールアドレスが出てくると、見積もりがやり直しになります。

5. 外部サービスと環境変数の名前一覧

使っているサービス（Supabase、OpenAI、Stripe、Resend、Google Maps…）と、環境変数の名前だけ（OPENAI_API_KEY、SUPABASE_SERVICE_ROLE_KEY…）を並べます。値は送りません。AIに「このプロジェクトが使っている外部サービスと環境変数の名前を一覧にして。値は出さないで」と頼めば、1分で出ます。

③ 送ってはいけないもの

  • キーの値（sk-…、eyJ…）。依頼文・チャット・スクリーンショットに含めない。必要になれば、エンジニアが環境変数の場所を指定します
  • 本物の顧客データ。テスト用アカウントはダミーで
  • zip のコード。履歴が見えない
  • 「全部見てください」。範囲が決まらないと見積もりが出ない（→ 20項目の記事）

④ そのまま送る依頼文

「AIで作った〔美容室の予約アプリ〕の公開前レビューをお願いします。

  • 公開URL：〔https://…〕
  • コード：GitHub の〔リポジトリ名〕に Read 権限で招待しました
  • テスト用アカウント：一般 sato@example.com／tanaka@example.com、管理者 admin@example.com（パスワードは別途）
  • 扱うデータ：氏名・メール・電話・来店履歴・本人確認書類の画像。決済は Stripe
  • 外部サービス：Supabase（DB・Storage・Auth）、OpenAI、Stripe、Resend。環境変数名の一覧を添付します（値は含めていません）
  • 自分で確認した10項目の結果：〔◯✗？のメモ〕

残りの10項目（管理APIの権限、Git履歴のキー、サーバー側の検証、バックアップなど）を見て、直すべき点と概算をください。」

この文に対して「まず要件定義から」「全部見ないと分かりません」と返ってきたら、AI製アプリのレビューに慣れていない相手です。

よくある質問

GitHub を使っていません。Lovable の中にしかコードがありません。

Lovable はプロジェクト設定から GitHub にリポジトリを出せます（Settings → GitHub → Connect）。Bolt・v0 も同様です。出したうえで、Read 権限で招待してください。これで Git 履歴も見てもらえます。

テスト用アカウントを作る機能がありません。

サインアップ画面から、ダミーのメールアドレスで2つ作ってください。管理者は、データベース側の is_admin フラグを自分で立てるか、AIに「admin@example.com を管理者にして」と頼みます。管理者を作れない場合は、その旨を書いてください（「管理者の判定がどこにあるか分からない」自体が、見てもらうべき項目です）。

環境変数の名前を送ると危なくないですか。

名前（OPENAI_API_KEY）だけなら、何を使っているかが分かるだけで、アクセスはできません。危ないのは値です。値を送らない、これだけ守ってください。

ここまで用意しても、見てもらえる人がいません。

この記事の依頼文の形で、VibeCode本番化の無料相談に送ってください。5つがそろっていれば、初回の返事で「どこを見るか・概算」までお伝えできます。

関連記事