▲ Vercelの運用をAIに任せる — 開発から本番監視まで、2026年8月に実際に組める構成

Playwright の骨格（疑似コード）。companyAToken はログイン処理の戻り値、baseURL は playwright.config.ts 側で設定する前提。実際のエンドポイントとレスポンス形式・ログイン処理はリポジトリの実装に合わせて書く。狙いは「3条件を落とさないテストを1本、CIに常駐させる」こと

import { test, expect } from '@playwright/test';

// 2026-08-08 の事故（許可職場チェックの書き忘れ）を機械で再発させないための
// 認可の横断テスト。まずはこの1本から始める。網羅は後回しでよい。
// 前提: playwright.config.ts の use.baseURL に PREVIEW_URL を設定済みであること。

test.describe('認可の横断テスト', () => {
  test('A社のトークンではB社のデータを読めない', async ({ request }) => {
    // ログイン処理でA社のテストアカウントのトークンを取得する（下記は前処理の例）
    const loginRes = await request.post('/api/auth/login', {
      data: { company: 'test-company-a', password: process.env.PREVIEW_TEST_ACCOUNT_PASSWORD },
    });
    const { token: companyAToken } = await loginRes.json();

    // dataUrlForCompanyB はB社のシードデータに合わせて用意したエンドポイントに置き換える
    const dataUrlForCompanyB = '/api/multi-share/company-b-endpoint';
    const res = await request.get(dataUrlForCompanyB, {
      headers: { Authorization: `Bearer ${companyAToken}` },
    });
    expect([403, 404]).toContain(res.status());
  });

  test('10人未満のグループは数値を返さない', async ({ request }) => {
    const res = await request.get('/api/aggregate/small-group');
    const body = await res.json();
    expect(body.value).toBeUndefined(); // もしくは masked: true 等、実装に合わせる
  });

  test('共有リンクは許可職場以外のデータを返さない', async ({ request }) => {
    const res = await request.get('/api/share/token-scoped-to-workplace-a');
    expect(res.status()).not.toBe(200);
  });
});

Semgrep Free Edition。10コントリビュータ・10リポジトリまで、AIトリアージ込みで無料

name: Semgrep

on:
  pull_request: {}

jobs:
  semgrep:
    runs-on: ubuntu-latest
    container:
      image: semgrep/semgrep
    steps:
      - uses: actions/checkout@v6
      - run: semgrep ci
        env:
          SEMGREP_APP_TOKEN: ${{ secrets.SEMGREP_APP_TOKEN }}

既存の ci.yml の build/check ジョブに1行足すだけでよい。新しいジョブを増やす必要はない

      - run: npm run build
      - run: npm run check
      - run: npm run lint

production-deploy.yml と対になる preview 用ワークフロー。fork由来PRでは production も preview も secrets を渡さない条件を付けている。実行前に @playwright/test の追加・playwright.config.ts・テストアカウント・package.json の test:e2e スクリプトを用意すること（上のdanger参照）

name: Preview deploy

on:
  pull_request:
    branches: [main]

permissions:
  contents: read

jobs:
  preview:
    # fork由来PRでは secrets を渡さない。内部ブランチPRだけ実行する
    if: github.event.pull_request.head.repo.full_name == github.repository
    runs-on: ubuntu-latest
    environment: preview
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: 22
          cache: npm
      - run: npm ci --ignore-scripts
      - run: npm run check
      - name: Pull preview settings
        run: npx vercel@latest pull --yes --environment=preview --git-branch="$GIT_BRANCH" --token="$VERCEL_TOKEN"
        env:
          GIT_BRANCH: ${{ github.head_ref }}
          VERCEL_TOKEN: ${{ secrets.VERCEL_PREVIEW_TOKEN }}
          VERCEL_ORG_ID: ${{ secrets.VERCEL_ORG_ID }}
          VERCEL_PROJECT_ID: ${{ secrets.VERCEL_PROJECT_ID }}
      - name: Build
        run: npx vercel@latest build --token="$VERCEL_TOKEN"
        env:
          VERCEL_TOKEN: ${{ secrets.VERCEL_PREVIEW_TOKEN }}
          VERCEL_ORG_ID: ${{ secrets.VERCEL_ORG_ID }}
          VERCEL_PROJECT_ID: ${{ secrets.VERCEL_PROJECT_ID }}
      - name: Deploy prebuilt to preview
        id: deploy
        run: |
          url=$(npx vercel@latest deploy --prebuilt --token="$VERCEL_TOKEN")
          echo "url=$url" >> "$GITHUB_OUTPUT"
        env:
          VERCEL_TOKEN: ${{ secrets.VERCEL_PREVIEW_TOKEN }}
          VERCEL_ORG_ID: ${{ secrets.VERCEL_ORG_ID }}
          VERCEL_PROJECT_ID: ${{ secrets.VERCEL_PROJECT_ID }}
      - run: npx playwright install --with-deps chromium
      - name: 認可E2E 3本をプレビューURLに対して実行
        run: npm run test:e2e
        env:
          PREVIEW_URL: ${{ steps.deploy.outputs.url }}
          PREVIEW_TEST_ACCOUNT_PASSWORD: ${{ secrets.PREVIEW_TEST_ACCOUNT_PASSWORD }}

.github/workflows/production-deploy.yml — 既存の ci.yml にある5検査（build/check・gitleaks・npm audit・authz-scope・security-docs）を通してから本番化する。検査名は実在のスクリプト名に合わせてある

name: Production deploy

on:
  push:
    branches: [main]

permissions:
  contents: read

concurrency:
  group: production-deploy
  cancel-in-progress: false

jobs:
  verify-and-deploy:
    runs-on: ubuntu-latest
    environment: production
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - uses: actions/setup-node@v4
        with:
          node-version: 22
          cache: npm
      - run: npm ci --ignore-scripts
      - run: npm run build
      - run: npm run check
      # gitleaks は npm パッケージではないので、既存 ci.yml と同じくバイナリを取得して実行する
      - name: gitleaks
        run: |
          VERSION=8.28.0
          curl -sSL "https://github.com/gitleaks/gitleaks/releases/download/v${VERSION}/gitleaks_${VERSION}_linux_x64.tar.gz" -o gitleaks.tar.gz
          tar -xzf gitleaks.tar.gz gitleaks
          chmod +x gitleaks
          ./gitleaks detect --source . --redact --exit-code 1
      - run: npm audit --omit=dev --audit-level=high
      - run: node scripts/check-multi-share-scope.mjs
      - run: node scripts/check-security-docs.mjs
      - name: Fetch Vercel production settings
        run: npx vercel@latest pull --yes --environment=production --token="$VERCEL_TOKEN"
        env:
          VERCEL_TOKEN: ${{ secrets.VERCEL_TOKEN }}
          VERCEL_ORG_ID: ${{ secrets.VERCEL_ORG_ID }}
          VERCEL_PROJECT_ID: ${{ secrets.VERCEL_PROJECT_ID }}
      - name: Build the artifact Vercel will serve
        run: npx vercel@latest build --prod --token="$VERCEL_TOKEN"
        env:
          VERCEL_TOKEN: ${{ secrets.VERCEL_TOKEN }}
          VERCEL_ORG_ID: ${{ secrets.VERCEL_ORG_ID }}
          VERCEL_PROJECT_ID: ${{ secrets.VERCEL_PROJECT_ID }}
      - name: Deploy exactly that artifact to production
        run: npx vercel@latest deploy --prebuilt --prod --token="$VERCEL_TOKEN"
        env:
          VERCEL_TOKEN: ${{ secrets.VERCEL_TOKEN }}
          VERCEL_ORG_ID: ${{ secrets.VERCEL_ORG_ID }}
          VERCEL_PROJECT_ID: ${{ secrets.VERCEL_PROJECT_ID }}

production-deploy.yml は on: push: branches: [main] でしか起動しない。verify/break-check のようなブランチへ push しても workflow は一度も動かず、確認にならない。方法Aか方法Bのどちらかで、実際に起動する形にする。本番リポジトリの main に壊れたコミットを直接入れる（方法A）ことは絶対にしない

# 方法A: 検証用リポジトリ（本番とは別のリポジトリ）の main で確認する
# production-deploy.yml と同じ内容の workflow を検証用リポジトリに置いておく
git clone https://github.com/<your-account>/verify-production-deploy.git
cd verify-production-deploy
echo "const brokenExampleValue: number = 'not-a-number'" >> src/lib/verify-break-check.ts
git add src/lib/verify-break-check.ts
git commit -m "verify: intentionally break npm run check"
git push origin main

# Actions の実行結果を確認する
gh run list --workflow=production-deploy.yml --limit=1
gh run view --log-failed

# npm run check のステップで赤くなり、後続の
# vercel pull / vercel build / vercel deploy が
# 実行されていない（Actionsの該当ステップが灰色のまま）ことを確認する

# 方法B: 本番リポジトリの workflow に一時的に workflow_dispatch を足し、
# 検証用の ref を明示指定して起動する（本番の main には触れない）
#
# on:
#   push:
#     branches: [main]
#   workflow_dispatch:
#     inputs:
#       ref:
#         required: true
git checkout -b verify/break-check
echo "const brokenExampleValue: number = 'not-a-number'" >> src/lib/verify-break-check.ts
git add src/lib/verify-break-check.ts
git commit -m "verify: intentionally break npm run check"
git push origin verify/break-check
gh workflow run production-deploy.yml --ref verify/break-check

gh run list --workflow=production-deploy.yml --limit=1
gh run view --log-failed

# 確認後は workflow_dispatch の一時追加を元に戻し、
# 検証用ブランチと verify-break-check.ts を削除する

SvelteKit 用の公式セットアップウィザード。DSN の取得とinstrumentationの配線まで対話式で進む

npx @sentry/wizard@latest -i sveltekit

1行目でプラグイン導入、2行目でDiscordトークンを設定、3行目でChannelsを有効にしてセッションを起動する

/plugin install discord@claude-plugins-official
/discord:configure <token>
claude --channels plugin:discord@claude-plugins-official

ログインのレート制限ルールの候補。CLI（vercel firewall rules add --json）に渡すルール定義の候補であり、フィールド名・構造は実機の vercel CLI バージョンで確認すること。下書きに追加しただけでは反映されず、publish が必須。REST APIとしての完全な実行例（エンドポイント・認証・project/team指定を含むもの）は取得できず、ここには載せない

# 下書き（ステージング）にルールを追加する。
# フィールド名・構造は候補であり、実機の vercel CLI バージョンで
# vercel firewall rules add --help を確認してから投入すること
vercel firewall rules add --json '{
  "name": "rate-limit-login",
  "description": "auth/login への総当たり対策",
  "active": true,
  "conditionGroup": [
    {
      "conditions": [
        { "type": "path", "op": "eq", "value": "/api/auth/login" }
      ]
    }
  ],
  "action": {
    "mitigate": {
      "action": "rate_limit",
      "rateLimit": {
        "algo": "fixed_window",
        "window": 60,
        "limit": 10,
        "keys": ["ip"]
      }
    }
  }
}'

# 下書きの内容を確認する
vercel firewall diff

# 本番に反映する（これをしないとルールは有効にならない）
vercel firewall publish