公開リポジトリと非公開リポジトリの考え方

GitHubを業務で利用する際、リポジトリを公開するか非公開にするかの判断は非常に重要です。この選択を曖昧なまま進めると、後で予期せぬ問題につながる可能性があります。

GitHubには、公開リポジトリと非公開リポジトリの2種類があります。それぞれの特性を理解し、目的に応じて適切に使い分けることが、安全かつ効果的なGitHub運用の土台となります。

公開リポジトリの特性と活用

公開リポジトリは、インターネット上の誰でもアクセスし、内容を見ることができるリポジトリです。見せること自体に意味があるコンテンツの管理に適しています。

• ポートフォリオや学習記録
• 公開して良いサンプルコード
• オープンソースソフトウェア（OSS）として共有したいコード
• 技術検証のメモ、制作実績
• 汎用的なテンプレート

例えば、AIに作らせたポートフォリオサイトを公開リポジトリにし、GitHub Pagesで表示できるようにすることで、あなたのスキルや実績をアピールする場として活用できます。

公開リポジトリを効果的に見せるためのポイント

公開リポジトリは、あなたのスキルや実績をアピールする場にもなります。しかし、見せ方には注意が必要です。

• READMEの充実: プロジェクトの目的、現状、確認方法、使用技術などを明確に記載します。
• 情報の整理: 未完成のまま放置せず、不要なファイルや仮の文言は削除します。
• 機密情報の排除: APIキー、個人情報、クライアント名など、見られて困る情報は絶対に含めません。
• 権利関係の確認: 使用する画像や素材の権利を確認し、架空のプロジェクトであることを明記するなど、誤解を招かないようにします。特にAIが生成したコードの場合、架空の会社名やサービス名が含まれることがあるため、実在する企業との関連がないことを明記することが重要です。

公開リポジトリに置いたものは、基本的に「外から見られる可能性がある」と考え、公開できる状態に整えることが大切です。

非公開リポジトリの特性と適切な利用

非公開リポジトリは、許可されたユーザーのみがアクセスし、内容を見ることができるリポジトリです。外部に見せるべきではない機密性の高いコンテンツの管理に適しています。

• クライアント案件のコードや資料
• 社内ツール、業務効率化スクリプト
• 未公開サービス、本番前のWebサイト
• 顧客情報に関わるコード
• API連携を含むプロジェクト、会社独自のノウハウ
• 契約上、公開できないもの

受託制作の案件など、仕事で扱うリポジトリは、まず非公開にするのが安全です。コード自体がシンプルでも、会社名、住所、電話番号、メールアドレス、サービス内容、キャンペーン名、計測タグなどの案件情報が含まれる可能性があるためです。

非公開リポジトリにおけるセキュリティ意識

非公開リポジトリであっても、APIキー、パスワード、データベース接続情報、顧客データ、個人情報といった秘密情報を直接リポジトリに含めることは避けるべきです。

一度コミットされた情報は、ファイルを削除してもコミット履歴に残る可能性があります。そのため、最初から含めない習慣をつけましょう。AIが生成したコードにサンプルのAPIキーが含まれている場合も、本物のキーをそのまま貼り付けてコミットしないよう注意が必要です。

秘密情報を扱う際は、環境変数やGitHub ActionsのSecretsなど、より安全な方法を検討してください。少なくとも、以下のルールを覚えておきましょう。

• APIキーをコードに直接書かない。
• パスワードをREADMEに書かない。
• .envのような設定ファイルをそのままコミットしない（.gitignoreで管理）。
• 個人情報をサンプルデータとして入れない。
• 本番環境の接続情報をGitHubに入れない。

リポジトリの公開範囲と閲覧者の意識

リポジトリを公開するか非公開にするかだけでなく、「誰に見せるためのリポジトリか」という視点も重要です。閲覧者によって、READMEの書き方や情報の公開範囲が変わります。

• 自分だけ: 多少ラフなメモでも問題ありません。
• 外注先やチームメンバー: 作業手順や注意点を明確にする必要があります。
• クライアント: 専門用語を避け、確認方法を分かりやすく記載します。
• 採用担当者や一般公開: 実績として見やすく整え、権利関係や機密情報に細心の注意を払います。

GitHubは単なるコードの保管場所ではなく、見せ方を含めて設計する場所です。

AI生成物とリポジトリ管理

AIが短時間で大量のコードを生成できるようになったことで、リポジトリへのアップロードも気軽になりがちです。しかし、AIが生成したコードには、サンプルの会社名、仮のメールアドレス、不要なライブラリ、存在しない機能の記述などが含まれている可能性があります。

公開リポジトリにアップロードする前には、AI生成物を必ず人間がレビューし、内容を確認する習慣をつけましょう。

ライセンスと権限の管理

公開リポジトリには、あなたのコードを他の人がどのように利用できるかを明確にするためのライセンスを設定することも検討しましょう。ライセンスがない場合、他の人がコードをどのように扱ってよいか判断に迷うことがあります。

非公開リポジトリでは、誰がリポジトリにアクセスできるか、どのような権限を持つかを適切に管理する権限管理が不可欠です。退職者や外注終了者の権限は速やかに削除し、一時的な共有のまま放置しないようにしてください。

公開・非公開判断のチェックリストと原則

公開リポジトリにするか迷った際は、以下の質問を自分に問いかけてみてください。

• 見られて困る会社名、クライアント情報、個人情報はないか？
• APIキーやパスワード、未公開サービスの情報はないか？
• 素材の権利は問題ないか？
• AIが作った仮の情報が残っていないか？
• READMEで公開目的を説明できるか？
• 見られたときに実績としてプラスになるか？

これらの質問に自信を持って答えられない場合は、まず非公開にしておくのが安全です。後から公開用に整えて公開することはできますが、最初から公開して事故を起こすより、非公開から始めるほうが安全です。

原則として、仕事で扱うリポジトリは非公開から始め、クライアントの許可なく公開しないようにしましょう。 実績として見せたい場合は、許可を得るか、別途架空のサンプルを作成する運用が推奨されます。

GitHubは、あなたの制作物を広げる力と、関係者だけで安全に進める力の両方を持っています。この二つの力を目的に合わせて使い分けることが、GitHubマスターへの第一歩です。