【アップデート版】アカウントをGitHubにpushした場合のリスクとは？

GitHubを巡る状況の変化

以前、「アカウントデータを誤ってGitHub.comにプッシュすると、えらい目にあう可能性があるから気をつけよう」という趣旨の記事を掲載した。

GitHubは多くの開発者にリポジトリとして使われているが、一度使い始めると便利なためなんでもかんでもGitHubに保存しておきたくなる。気が緩んでいると、広く公開されているGitHub.comにアカウントデータを追加してしまうこともあるから気をつけよう、という内容だった。

記事の中で「プライベートリポジトリを使っているならよいかもしれないが」と説明したが、記事が掲載された翌月に状況が変わった。プライベートリポジトリは許可したユーザーにしか公開されないリポジトリで、これまでは利用は有料だった。しかし、2019年1月に入ると、誰でもプライベートリポジトリを無料で利用できるようになったのだ。今回は、この変更を受けてプライベートリポジトリを使う方法を取り上げておこう。

プライベートリポジトリを作成する

GitHub.comでは、作成するリポジトリは誰でも見られる状態になる。プライベートリポジトリはデフォルトでは自分だけしか見ることのできないリポジトリで、あとは自分が許可したユーザーだけがアクセスできる。個人ユーザーが無料で利用する場合、共有できる人数に制限はあるものの、プライベートリポジトリの基本的な使い方は変わらない。

プライベートリポジトリを作成する場合、次のスクリーンショットのようにリポジトリを作成する段階で「Private」を選択すればよい。基本的にはこれだけだ。

• プライベートリポジトリの作成方法

本人が利用している分にはパブリックリポジトリもプライベートリポジトリも違いを感じないはずだ。しかし、本人以外のユーザーがアクセスしようとしても、次のようにコンテンツが存在しないという扱いになる。

• 許可されていないユーザーはアクセスできない

プライベートリポジトリを使っている場合、上部のリポジトリ名が表示されている部分に「Private」という表記が追加されるようになる。しかし、それほど目立つ表示ではないため、基本的にPublicなのはPrivateなのかは相当注意しないと気が付かないだろう。

パブリックとプライベートをきちんと確認する

プライベートリポジトリとはいえ、アカウントデータを追加してよいか悪いかの是非は別のところで検討するとして、仕組みとしてアクセスを限定することができるプライベートリポジトリが利用できるようになったことで、アカウントデータをプッシュしておくことも検討対象にはできるようになった。

このため、今後の注意点は「誤ってアカウントデータをパブリックリポジトリに追加してしまう」ということになる。パブリックリポジトリとプライベートリポジトリの区別はわかりづらいので、プライベートリポジトリに追加したと思っていたものが、実はパブリックリポジトリだった、ということがあるかもしれない。

また、プライベートリポジトリにアカウントデータを追加しておく場合、GitHubのアカウントがマスターパスワードという扱いになってくることにも注意が必要だ。GitHubのアカウントが流出したり破られたりすると、アカウントデータも流出する可能性が出てくることになる。GitHubはアカウントデータを保存するためのサービスではないので基本的にはそういう使い方はしないというのが原則ではないかと思うが、気をつけておきたいところだ。