結論から
環境変数とは、APIキーやパスワードのような「見られたくない値」を、コード本体とは別の場所に保管しておく仕組みです。コードの中に直接書く代わりに、「.env」という別ファイルや、デプロイ先の設定画面に値を置き、コードからは名前だけで呼び出します。
- コードに直接書く：GitHubに公開したり、画面のソースを見られたりすると、そのままキーが漏れる
- 環境変数に置く：コード自体にはキーの中身が含まれないため、コードを見られてもキーは見えない
「コードに直接書く」と何が違うのか
AIツールにアプリを作らせると、動作確認のために、まずコードの中に直接APIキーを書き込むことがよくあります。動作テストの段階ではこれでも動きますが、そのまま公開してしまうと問題になります。
- コードに直接書いたキーは、GitHubなどにコードを上げた瞬間に世界中から見える状態になる
- 環境変数として管理していれば、コード自体を公開しても、キーの中身は別の場所（デプロイ先の設定画面など）にあるため一緒には漏れない
AIツールへの指示例
「このAPIキーをコードに直接書かず、環境変数として.envに移動してください。デプロイ先（Vercelなど）の環境変数設定にも同じ値を登録する必要があることを教えてください」というように、移動先と、デプロイ先への設定登録の両方まで含めて指示すると、対応漏れが起きにくくなります。
よくある質問
.envファイルを作れば、それだけで安全になりますか。
.envファイル自体をGitHubに公開してしまっては意味がありません。多くのAIツールは.gitignoreという仕組みで.envを公開対象から自動的に除外しますが、実際に除外されているかは確認が必要です。
デプロイ先の設定にも登録が必要なのはなぜですか。
.envファイルはあなたのパソコンの中だけで使われるものです。Vercelなどにデプロイした本番環境では、別途その環境専用の場所にキーを登録しないと、本番では動かない、あるいは別の方法でキーが書き込まれたままになってしまいます。
すでに公開してしまったキーがある場合はどうすればいいですか。
漏れた可能性のあるキーは、環境変数に移すだけでは不十分で、そのキー自体を無効化し、新しいキーを再発行する必要があります。対応に自信がない場合は、個人の方は気軽にご相談を、業務で任された方はこの点を上司へ報告した上でご相談を、経営者・管理職の方は影響範囲の確認も含めてご相談ください。
