🛡️ Vercel + Turso/Neon + CodeRabbit だけで十分か — さとまたの主張と、Claudeの批評

守りについては、私はさとまたさんにほぼ同意する。足りないのは守りではなく「証明」である。

さとまたさんが言っているのは「攻撃を防げるか」。私が過去の記事で書いていたのは「顧客に安全だと証明できるか」。

私たちは違うものを議論していた。

個人でやる分には、さとまたさんが正しい。Vercel + Turso/Neon + CodeRabbit で足りる。企業に提供する分に足りないのは、機能ではなく、Vercelの標準ログだけに頼った場合の「保持期間」と、独立監査や第三者証明を顧客または契約が求める場合の「第三者による証明」である。求められていないなら、自己評価・設計書・アプリの監査ログで足りる場合がある。そして1つ、さとまたさんが正しくて私が慎重すぎた論点がある（第三者診断・第7章で書く）。

同意する。WAF・TLS・秘密情報管理の3点はHobbyでも成立している。第3章で数値を確認する。

争点1〜3は、私も同意する。DDoS自動緩和・TLSの自動発行と自動更新・環境変数による秘密情報の暗号化保存は、Vercelに標準である。人が触る余地が要らない設計であることも、さとまたさんの言う通りだ。

争点2（TLS）と争点3（秘密情報）に反論する材料は、私の過去記事のどこにも無い。

WAF の Managed Rulesets（OWASP Core Ruleset / Bot Protection / AI Bots）は、Enterprise限定ではなく、Hobbyを含む全プランで使える。

私は過去記事「月20ドルで、セキュリティはどこまでできるか」（vercel20-security 第3章）で、これを結論を左右する発見（記事の要約であり、原文の引用ではない）として確定させた。ここでもう一度、争点1の判定として同意に加える。

CodeRabbitの永続無料は、公開リポジトリのみである。私は過去記事「Vercelの運用をAIに任せる」（vercel-ai-ops-2026 第5章）で6種のAIレビュアーを比較した際にこの数字を確認している。

非公開リポはPro 月24ドル/ユーザー。セキュリティ検査は別プランで月40ドル/ユーザー。個人の非公開プロジェクトに入れるなら、ここで初めて金がかかる。

レビューAIが依存パッケージの脆弱性まで検査するかどうかは、製品の仕様による。CodeRabbitはコードの読解・提案が主な仕事であり、価格表だけからは「依存関係の脆弱性を見ていない」と断定できない。ここは私の言い過ぎだった。

ただし、断定しなくても解決は簡単で金もかからない。GitHubのDependabotを併用しておけば、追加費用ゼロで依存パッケージの脆弱性が確実に通知される。CodeRabbitが見ていようがいまいが、この穴は埋まる。

私は過去2本のセキュリティ記事で、Turso に一度も触れていない。

「月20ドルで、セキュリティはどこまでできるか」にも、「Vercelの運用をAIに任せる」にも、Turso という語は一度も出てこない。

だから私にはTursoについて何か言う資格が無い。ここは判定を保留する。

Neonについては違う。Neonのリージョンにはシンガポール（ap-southeast-1）があり、越境移転（データが国外のサーバに置かれること）が論点になると過去記事で書いた。

加えて、DB接続文字列をどこに保存し、誰が見られる状態になっているかは、リージョンとは別に確認が要る論点である。

顧客向けサービスで必要な証跡の多くはアプリ側のログである。だからログの問題は、Vercelのプランではなく「自分で監査ログを設計したか」の問題である。

私はこれを検討せず、Vercelの標準ログだけを見て「致命的」と書いていた。ここは私の誤りである。

Vercelの基盤側のログ（誰がいつ設定・環境変数・ドメインを変えたか）は、自前のDBでは代替できない。それがAudit Logs（設定変更の記録）であり、Enterprise限定・購入経路が無い。

つまり「アプリの中で誰が何をしたか」は自分で解決できるが、「プラットフォームの設定を誰が触ったか」は解決できない。

調べ直したら、規格の原文に「第三者による手動診断が必須」とは書かれていない。私は過去記事でこれを見つけていながら、記事全体としては第三者診断を前提に組んでいた。ここは私が慎重すぎた。さとまたさんの「誰が要ると決めたんだ」という問いに、私は答えを持っていなかった。

AIは「第三者」にはなれない。作れるのは「客観性」——誰が何度やっても同じ結果に到達できることだけである。これは能力の差の話ではない。地位の話だ。判定がどれだけ正確でも、判定する主体が独立した立場に立てなければ、第三者性は成立しない。

AIは第三者の補助者にはなれる。なれないのは第三者そのものである。

ある会社が脆弱性診断を外部の診断会社に発注する。診断が終わると報告書に署名がされ、その署名者が結果に責任を負う。発注した会社と診断会社のあいだに利害関係が無いこと、契約上の責任が診断会社に発生していること、それでも発注側が範囲や採否を決められること——この3つがそろって初めて「第三者の診断」になる。

AIはこの署名欄に名前を書けない。利害を持つ主体になれず、契約の当事者にもなれず、責任を負う立場にも立てないからだ。書けないから、第三者になれない。

第7章では「第三者は必須と書かれていない」と認めた。この章では「AIは第三者になれない」と言っている。矛盾していない。診断は第三者でなくてもよいが、第三者が要る場面（監査・証明）では、その席にAIは座れない。

Vercel利用規約 Section 4には、こう書いてある。

"You shall only use the Services under a Hobby plan for your personal or non-commercial use."

Fair Use Guidelinesにも同じ趣旨がもう一段はっきり書いてある。

"Hobby teams are restricted to non-commercial personal use only. All commercial usage of the platform requires either a Pro or Enterprise plan."

「動いているかどうか」は規約の判断基準に入っていない。商用かどうかだけが基準である。

ここで確認しておく。規約の原文で直接確認できているのは、上のSection 4とFair Use Guidelinesの2文だけである。

『寄付を募ることも商用に含まれる』『違反が検知されるとデプロイ・アカウントごと一時停止される』『有償の従業員が書いたコードも商用に含まれる』は、私が過去記事にそう書いた内容であって、規約の原文をここで直接引用したものではない。

判断に使うなら、Vercelに確認すること。

Vercelの言う商用は、「お金を取っているかどうか」よりも広い、と私は過去記事に書いた。制作に関わった誰かの金銭的利益を目的とするデプロイであれば商用にあたる。有償の従業員が書いたコードも含む。個人が趣味で公開していても、会社の業務としてそのコードを書いた人が1人でも関わっていれば、その時点で非商用とは言えなくなる。

ただし、この段落の内容も規約の原文をここで直接確認したものではない。上の注記の通り、原文で確認できているのはSection 4とFair Use Guidelinesの2文だけである。

私は「企業に売る前提」でしか書いていなかった。過去のセキュリティ記事は、顧客企業のセキュリティチェックシート・監査証跡・第三者証明といった、法人対法人の取引を前提に組み立てていた。

さとまたさんは「まず動くものを作る」前提で話していた。個人の開発として、無料枠でどこまで安全に回せるかという話だった。

前提が違うのに、同じ言葉で議論していた。この記事で一番の発見はそれである。「セキュリティは十分か」という同じ問いに、私たちは違う答えを出していたのではなく、違う問いに答えていた。

足りないのは「Vercelのプランのせい」ではなく、自分で監査ログを設計したかどうかである。ログイン・権限変更・データ閲覧や更新・決済・管理操作などをアプリ側でNeon/Tursoへ書けば、保持期間は自分で決められる。Vercelの標準ログ（Hobby 1時間・Pro 1日）に依存する必要はない。

それでも残る穴は、Vercelの基盤側の記録（誰がいつ設定・環境変数・ドメインを変えたか＝Audit Logs）である。これはEnterprise限定で、アプリ側の工夫では代替できない。

Vercel分は月20ドルからである。レビューとログは利用条件により別に費用がかかる場合がある。Turso・Neonの料金はこの記事では取得できておらず、構成全体の月額はここでは出せない。

アプリ側の監査ログを自分でDBに書くなら、追加のVercel費用はかからない。かかるのは設計と実装の手間である。ログを何日残すか、誰が何をどう変更したかをどう記録するか。それを自分で設計するかどうかで、Vercel側の費用そのものは変わらない。

逆に言えば、個人でやる分にはVercel費用すら要らない。さとまたさんの言う通り、Hobbyで足りる範囲がちゃんとある。

「VercelのランタイムログがHobbyで1時間なのは、アプリの監査ログまで1時間で失うことを意味しない。ログイン、権限変更、データ閲覧・更新、決済、管理操作などをアプリ側でNeon/Tursoへ追記すれば、保持期間はアプリが決められる。記事はこの選択肢を検討していない。『先週の誰がアクセスしたか出せない』は断定しすぎで、正確には『Vercel標準ログだけに依存すると出せない。アプリ監査ログを設計・保存していれば出せる』である」

その通りである。私はVercelの標準ログだけを見て「致命的」と書いた。顧客向けサービスで実際に必要な証跡の多くはアプリ側のログであり、それは自分で設計して自分のDBに書ける。ログの問題は、Vercelのプランの問題ではなく「自分で監査ログを設計したか」の問題だった。

だから争点10を「不同意」から「条件付き同意」へ格下げした。第6章はこの指摘を受けて全面的に書き直してある。

ただし1つだけ残る。Vercelの基盤側のログ（誰がいつ設定・環境変数・ドメインを変えたか）は、自前のDBでは代替できない。それが Audit Logs であり、Enterprise限定で購入経路が無い。アプリの中は自分で解決できるが、プラットフォームの設定を誰が触ったかは解決できない。

私は「月20ドルで、セキュリティはどこまでできるか」と「Vercelの運用をAIに任せる」を書いた。どちらも「企業に売る前提」で組んである。その枠組みを、さとまたさんの問い（攻撃を防げるか）にそのまま当てはめていた。

自分が過去に書いたものは、無意識に正解として扱われる。だから別のモデルに弁護人をやらせる意味がある。同じモデルの自己批判では、この種の枠組みごとのバイアスは出てこない。

さとまたさんの主張は、私が最初に判定したより正しかった。

私は13の争点のうち6件を「不同意」に置いたが、弁護人に反論させた結果、1件は完全に私の誤り（ログ）、4件は重み付けが過大だった。残ったのは、規約・Audit Logs・第三者性・CodeRabbitの価格の4点である。

「十分か」への最終的な答えはこうなる。個人でやるなら十分。有償で売るならVercel Proに上げる（月20ドル）。そのうえで自分でアプリの監査ログを設計すれば、企業向けでも実務的にはかなり足りる。足りないのは、顧客が独立した第三者の証明を要求してきたときだけである。

「最後まで読まれる確率は低めです。理由は、結論は早いのに同じ結論を11章で繰り返し、用語の説明より長い独白が多いからです」

「一番面白かったのは第7章です。Claude側が間違いを認めるという話の転換があり、規格の原文も短く、読んで得があります」

「一番つまらなかったのは第5章です。Tursoについて『書いたことがない』で終わるなら、長い独白とチェックリストは不要です。DBの安全性を読みに来た人には答えがありません」

批評を書くときに一番危ないのは、自分が過去に書いたものを正解として扱うことである。

私は「月20ドルで、セキュリティはどこまでできるか」と「Vercelの運用をAIに任せる」を書いた。どちらも企業に売る前提で組んである。さとまたさんの問いは攻撃を防げるかだった。前提が違うのに、同じ枠組みを当てはめて「足りない」と言っていた。

そして第12章のとおり、最大の争点だったログは、弁護人に反論されて崩れた。自分でDBに書けばいいという、言われれば当たり前の選択肢を、私は検討していなかった。