先生と生徒の会話形式で理解しよう

生徒

「RailsでパスワードとかAPIキーとか、どうやって安全に管理するんですか？」

先生

「Railsには、秘密の情報を安全に管理する方法がいくつかあります。代表的なのがdotenvとRails credentialsです。」

生徒

「両方あると、どっちを使えばいいのか迷います…」

先生

「その気持ち、よくわかります！それでは、どんなときにdotenvを使って、どんなときにRails credentialsを使うのか、わかりやすく解説していきましょう！」

1. 環境変数とは？秘密情報って何？

まず、環境変数（かんきょうへんすう）とは、パソコンやアプリケーションにとっての「設定ファイル」のようなものです。Railsアプリを動かすときに、「この情報はアプリの中に書かずに外から渡してね」とするために使います。

一方、秘密情報とは、例えば次のようなものです：

APIキー（外部サービスを使うための鍵）
パスワードやトークン（ログインや認証に使う情報）
データベースの接続情報（ユーザー名やパスワード）

これらの情報は、誤ってインターネットに公開してしまうと大きなトラブルになります。だからこそ、しっかりと「隠して」管理する必要があります。

2. dotenvとは？使い方とメリット

dotenv（ドットエヌブ）は、.envファイルという場所に環境変数を書いて、それをRailsアプリに読み込ませる仕組みです。初心者にとってはとても使いやすい方法です。

たとえば、こんな風に使います：


# .env
API_KEY=abcdefg12345
DB_PASSWORD=secret123

そしてRailsのコード内でこのように呼び出します。


ENV['API_KEY'] #=> "abcdefg12345"

この方法のメリットは次のとおり：

ファイルが読みやすい
複数の環境（開発・テスト）で使い分けしやすい
Gitに含めなければ秘密を守れる

3. Rails credentialsとは？セキュリティ重視の方法

Rails credentials（レールズ・クレデンシャルズ）は、Railsが用意しているセキュリティが非常に高い秘密情報の管理方法です。

使い方は、コマンドで専用ファイルを開いて情報を記述します：


bin/rails credentials:edit

すると、エディタが開き、以下のように記述できます。


aws:
  access_key_id: your_key
  secret_access_key: your_secret

呼び出すときはこうです：


Rails.application.credentials.dig(:aws, :access_key_id)

暗号化されているため、万が一ファイルが誰かに見られても、中身が分からないようになっています。

4. dotenvとcredentialsはどう使い分ける？

ここがこの記事の一番大切なポイントです！

以下のように使い分けるのが、ベストプラクティス（最適な使い方）です。

用途	dotenvを使う	credentialsを使う
開発環境だけの設定	◯	△（あまり使わない）
本番環境の機密情報	△（非推奨）	◎（安全）
複数人で共有する秘密情報	✕（漏れる危険あり）	◎（暗号化されて安全）
個人でサッと試すとき	◎（手軽）	✕（手間がかかる）

まとめると、「ちょっとだけ使いたいならdotenv、安全に管理したいならcredentials」と覚えると良いです！

5. dotenvとcredentialsの注意点とヒント

初心者がやりがちな失敗と、その防ぎ方も紹介しておきます。

.envファイルは.gitignoreに追加する（Gitにアップロードしない）
credentials.yml.encはGitに入れてもOKだが、暗号鍵（master.key）は絶対に外に出さない
共有プロジェクトでは、credentialsを使ってみんなで一つの秘密情報を使うのが安全

また、Rails 7以降は複数の環境（開発・本番）ごとにcredentialsを分けることができます。

まとめ

Railsで安全に秘密情報を扱うためには、環境変数という仕組みを正しく理解し、使い分けを意識した管理が欠かせません。とくにAPIキーやデータベース接続情報のような大切な値は、アプリケーションのソースコードに直接書いてしまうと、意図せぬ公開や誤配布につながる危険があります。そこで活用されるのがdotenvとRails credentialsであり、どちらも秘密情報を外部に切り離して管理する仕組みとして非常に重要な役割を果たします。dotenvは開発環境で扱いやすく、.envファイルに記述するだけで環境変数として読み込み、Rails内部から簡単に参照できるため、小規模な開発や個人の検証用途に向いています。

一方で、より高い安全性が求められる本番環境や複数人での開発では、暗号化された形で情報を保持するRails credentialsが力を発揮します。credentialsは暗号化されたcredentials.yml.encと、それを復号するためのmaster.keyという仕組みで成り立ち、Gitでファイルを共有しつつ秘密情報そのものは隠された状態を維持できるため、外部漏洩のリスクを大幅に下げられます。Rails 7以降では複数環境ごとにcredentialsを用意できるので、「開発ではdotenv、運用ではcredentials」という自然な切り分けが可能になります。

秘密情報の管理で重要なのは、「どの環境で何を使うか」を明確にしておくことです。dotenvを使用する場合は、必ず.gitignoreで.envファイルを管理対象から外し、誤ってリポジトリに含めないように注意する必要があります。また、credentialsを用いる場合はmaster.keyを安全に管理し、第三者に渡らないよう十分に配慮することが求められます。この意識を持つことで、Railsアプリケーションにおけるセキュリティが格段に高まり、外部サービスとの連携や認証処理も安心して実装できます。

サンプルコードで仕組みをおさらい


# dotenvで読み込む.envファイルの例
API_TOKEN=sample_token_value
MAIL_PASSWORD=example_password


# Railsアプリ側で呼び出す例
token = ENV['API_TOKEN']
password = ENV['MAIL_PASSWORD']


# credentialsに保存する例（暗号化されている）
external_api:
  user_id: sample_user
  secret_key: sample_secret_value


# credentialsから呼び出す例
Rails.application.credentials.dig(:external_api, :secret_key)

dotenvは外部ファイルから気軽に値を読み込めるため、プロジェクトを立ち上げたばかりのタイミングや、簡単な検証を素早く始めたいときに最適です。それに対してcredentialsは暗号化されているため、本番環境で非常に強力な守りとなり、大規模開発に向いています。この二つの性質を理解していくことで、Railsアプリケーション全体の信頼性と安全性を高めることができ、開発におけるミスやリスクを大幅に減らせるようになります。

また、秘密情報の扱いはプロジェクトの成長に伴って重要性が増すため、日頃から管理方法を見直し、適切な場所に適切な形で値を保持する習慣を身につけておくことがとても大切です。小さなアプリでもAPI連携を行う場面は多く、外部サービスを扱うほど情報保護の必要性が高まります。Railsが提供するcredentialsの仕組みを理解し活用できるようになると、より安全なアプリケーション設計につながり、信頼されるサービスを構築するうえでの強い基盤となります。

先生と生徒の振り返り会話

生徒「dotenvとcredentialsの違いがようやくつかめました！開発環境はdotenv、本番環境ではcredentialsって覚えておくとよさそうですね。」

先生「とても良い理解です。特に本番では情報漏洩のリスクを下げるために、暗号化されたcredentialsを使うのが基本ですよ。」

生徒「.envは便利だけどGitに入れちゃダメなんですね。credentialsのmaster.keyも大切に保管しないといけないのも意識しておきます！」

先生「その意識があれば安心です。Railsでは環境ごとに仕組みを使い分けられるので、今回の知識を活かして安全性の高いアプリを作れるようになりますよ。」

生徒「はい！次からはAPIキーやパスワードをどう扱うか、ちゃんと考えながら開発してみます！」

先生「すばらしいですね。その姿勢が良いアプリケーションを作る第一歩ですよ。」