プログラミング

環境変数とは|.envファイルの役割と、APIキーを安全に扱う基本をやさしく解説

公開日:2026-10-28

結論:まずここだけ読めばOK

1.環境変数は、プログラムの外側に置く「名前=値」の設定。コードを書き換えずに、環境ごとに値を入れ替えられる
2.主な目的は3つ。環境ごと(開発・確認・本番)の設定の切り替え、APIキーやパスワードをコードに直書きしない、コードを変えずに動きを調整する
3..envファイルに書いて、.gitignoreでGitの管理から外す。GitHubに上げるのは、値を空にした .env.example だけにする
4.Next.jsでは、NEXT_PUBLIC_ で始まる変数は、ブラウザ側に公開される。秘密のキーには付けない。値を変えたら、再デプロイが必要

詳しい手順・原因は、この下で解説しています。

プログラミングのイラスト

結論: 環境変数は、プログラムの外側に置く「名前=値」の設定です。プログラムは、起動した時に、その値を読み取ります。接続先やAPIキーを、コードに直接書かず、環境ごとに値を入れ替えられるため、安全で、管理もしやすくなります。ローカルでは**.envファイル**に書き、GitHubに上げないのが、基本です。

環境変数とは

環境変数は、OSやサーバーなどの実行環境が持つ、「名前」と「値」のペアです。たとえば、次のようなものです。

名前	値(例)	意味
`PATH`	プログラムが置かれているフォルダーの一覧	コマンドを、どこから探すか
`NODE_ENV`	`production`	本番として動いているか
`DB_URL`	データベースの接続先	どのデータベースにつなぐか

プログラムは、名前を指定して、値を読み取ります。コードの中には、値そのものを書きません。

何のために使うのか(3つの目的)

**環境ごとに設定を切り替える:**自分のPC(開発)・確認用(プレビュー)・公開中(本番)で、接続先や設定が違う
**秘密の情報を、コードに書かない:**APIキー、パスワード、トークンなどを、コードから切り離す
**コードを変えずに、動きを調整する:**機能のオン・オフや、表示の設定を、値で切り替える

同じコードが、環境ごとに違う値を読み取って動く図解

.envファイルとは

ローカルで開発する時は、環境変数を、**.env(ドットエンブ)**という、テキストファイルにまとめて書く方法がよく使われます。

DB_URL=postgres://localhost/test
API_KEY=ここに、自分のキーを書く

形式は、名前=値を、1行に1つ書くだけ
Next.jsなど、多くのフレームワークや、dotenvなどのライブラリが、起動時に読み込む
値に空白や記号が含まれる場合は、引用符で囲むことがある(ツールによって異なります)

コードから読み取る方法

言語ごとに、読み取り方が決まっています。

言語	読み取り方(例)
JavaScript(Node.js)	`process.env.API_KEY`
Python	`os.environ["API_KEY"]` または `os.getenv("API_KEY")`
PHP	`getenv("API_KEY")`

変数そのものの考え方は、変数とはで解説しています。

してはいけないこと:キーの直書き

APIキーを、コードに直接書くと、そのコードを公開した時に、キーも一緒に公開されます。

キーの直書きとenvファイルの扱いを比べた図解

守る基本は、次の3つです。

キーは、.envに書く
.gitignoreに「.env」を書き、Gitの管理から外す
GitHubには、値を空にした「.env.example」だけを上げる(必要な項目が分かるようにする)

Gitの基本は、Gitとはや、GitとGitHubの違いで解説しています。APIキーの考え方は、APIキーとはも参考になります。

GitHubに、キーを上げてしまったら

ファイルを消すだけでは、不十分です。Gitには履歴が残り、公開されていた間に、誰かがコピーしている可能性があります。

そのキーを、発行元のサービスで、すぐに無効にする(再発行する)
使われた形跡がないか、利用状況・請求を確認する
コードを直し、環境変数から読む形に変える
必要なら、履歴からも取り除く(消しても、すでに漏れたものとして扱う)

無効にして再発行するのが、最優先です。

Next.jsとVercelでの注意

Next.jsでは、環境変数の名前の付け方で、扱いが変わります。

NEXT_PUBLIC_を付けた変数と、付けない変数の違いの図解

**NEXT_PUBLIC_ で始まる変数:**ビルドの時に、ブラウザ側のコードに埋め込まれ、誰でも見られる
**それ以外の変数:**サーバー側だけで使える。ブラウザには届かない

**秘密のキーに、NEXT_PUBLIC_ を付けてはいけません。**公開してよい設定(サイト名や、公開用のIDなど)にだけ使います。

**Vercelでの設定:**プロジェクトの設定画面にある、「Environment Variables」(環境変数)の項目に、名前と値を登録します。Production(本番)、Preview(確認用)、Development(開発)ごとに、値を分けられます。

**値を変えたら、再デプロイが必要です。**特に、NEXT_PUBLIC_ の値は、ビルドの時に埋め込まれるため、変更しても、再デプロイするまで、反映されません。画面の名称は、更新で変わることがあります。

自分のPCで、環境変数を確認する

環境	確認の例
Windows(コマンドプロンプト)	`echo %PATH%`
Windows(PowerShell)	`$env:PATH`
Mac・Linux	`echo $PATH`
すべての一覧(Mac・Linux)	`printenv`

一時的に、設定したい時は、ターミナルを閉じるまで有効な方法があります。

PowerShell:$env:MY_NAME="値"
Mac・Linux:export MY_NAME=値

OSの設定画面から、恒久的に設定する方法もあります(Windowsでは、「環境変数を編集」で検索)。

よくある失敗

失敗	原因・対処
値が、読み込まれない	変数名の打ち間違い。.envの場所(最上位か)。設定を変えたあとの、再起動・再デプロイ
本番でだけ、動かない	本番側に、環境変数を登録していない
キーが、画面に表示された	`NEXT_PUBLIC_` を付けていた。ログに出力していた
他の人の環境で、動かない	.envは、GitHubに上げない。.env.exampleで、必要な項目を共有する
AIが作ったコードに、キーが書かれていた	そのまま使わず、環境変数に直す(AIが作ったコードを、そのまま使わない理由)

環境変数の限界

環境変数は、コードへの直書きよりは安全ですが、万能ではありません。

ログに出力すると、漏れる
同じ環境で動く、他のプログラムから、読み取られる場合がある
画面に表示すると、見られる

重要な秘密情報は、クラウドサービスが提供する、秘密情報の管理機能を使う方法もあります。小さなサイトや、学習の段階では、まず、.envと.gitignoreの基本を、確実に身につけることが大切です。

まとめ

環境変数は、プログラムの外側に置く「名前=値」の設定
目的は、環境ごとの切り替え・秘密情報の分離・動きの調整
ローカルは、.envに書き、.gitignoreでGitから外す。上げるのは、.env.exampleだけ
Next.jsでは、NEXT_PUBLIC_ を付けると公開される。秘密のキーには付けない。値を変えたら再デプロイ
キーを上げてしまったら、無効にして、再発行する

SHAREX LINE はてブ

よくある質問

Q.環境変数と、普通の変数は、何が違いますか?

A.普通の変数は、プログラムの中で作る、データを入れる箱です。環境変数は、プログラムの外側(OSやサーバーの設定)に置かれ、プログラムが、起動した時に読み取る値です。コードを書き換えずに、値だけを入れ替えられる点が違います。

Q..envファイルは、GitHubに上げてもいいですか?

A.上げてはいけません。APIキーやパスワードが書かれていることが多く、公開リポジトリなら、誰でも見られてしまいます。.gitignoreに「.env」を書いて、Gitの管理対象から外します。代わりに、値を空にした「.env.example」を上げておくと、他の人が、必要な項目を把握できます。

Q.GitHubに、キーを上げてしまいました。どうすればいいですか?

A.ファイルを消すだけでは、不十分です。履歴に残るうえ、すでに誰かにコピーされた可能性があります。まず、そのキーを、発行元のサービスで無効にして、再発行してください。そのあとで、コードを修正し、必要なら履歴からも取り除きます。

Q.Next.jsで、環境変数が読み込まれません。

A.次の3つを確認してください。変数名が、NEXT_PUBLIC_で始まっているか(ブラウザ側で使う場合)、.envファイルが、プロジェクトの最上位にあるか、設定を変えたあとに、開発サーバーの再起動(本番は再デプロイ)をしたか。NEXT_PUBLIC_の値は、ビルドの時にコードへ埋め込まれるため、値を変えたら、ビルドし直す必要があります。

Q.環境変数に入れておけば、絶対に安全ですか?

A.いいえ。コードに直書きするより安全ですが、ログに出力したり、画面に表示したり、同じ環境の他のプログラムから読み取られたりすると、漏れます。重要な秘密情報は、クラウドサービスが提供する、秘密情報の管理機能(シークレット管理)で扱う方法もあります。