Private visibility
GitHub private repositoryの公開範囲とは？
private repositoryでも、招待された人や権限を持つ人は中身を見ることができます。
このサイトはGitHub公式サイトではありません。GitHub公式サポートの代替ではなく、初心者が公開範囲、秘密情報、Codex連携を安全に確認するための非公式ガイドです。重要な仕様や料金、権限は公式情報も確認してください。
検索語から先に確認
GitHub private repositoryの公開範囲
private repositoryはインターネット全体には公開されません。個人アカウントのリポジトリでは所有者と招待した共同編集者、Organizationでは権限を付与されたメンバー・Team・外部協力者などが閲覧できます。つまり、privateは「自分だけ」ではなく「アクセス権を持つ人だけ」です。
| リポジトリ | 見られる範囲 | 確認する場所 |
|---|---|---|
| 個人のprivate | 所有者と招待済みの共同編集者 | SettingsのCollaborators |
| Organizationのprivate | 権限を持つメンバー、Team、外部協力者など | People、Teams、Repository access |
| public | インターネット上の誰でも閲覧可能 | 公開前に全ファイルと履歴を確認 |
権限を外しても、相手が以前cloneしたローカルコピーまで自動で消えるわけではありません。公開範囲を変更する時は、fork、GitHub Pages、Actionsの履歴やログへの影響も確認します。
private repository全体の注意点 / private repositoryと機密情報の扱い
公式情報
まず一言でいうと
private repositoryでも、招待された人や権限を持つ人は中身を見ることができます。
private repository は「完全に誰にも見えない箱」ではありません。所有者、共同編集者、Organizationのメンバー、権限を持つ人は中身を見られるため、公開範囲と権限をセットで確認します。
このページで整理すること
- GitHubでできることと、GitHubだけに任せないこと
- private / public、公開範囲、権限の見方
- APIキー、パスワード、トークン、顧客情報を入れない考え方
- CodexやGitHub Desktopと組み合わせる時の安全チェック
GitHubでできること
- 所有者と共同編集者を確認する
- Organization内の権限を確認する
- 外部共有や招待の有無を見る
- 設定変更前に影響範囲を確認する
GitHubだけに任せないこと
- privateという名前だけで安心しない
- 不要な編集権限を付けない
- 権限変更を軽作業扱いしない
- 顧客情報や契約情報を置かない
private / public 比較表
| 項目 | private repository | public repository |
|---|---|---|
| 見える範囲 | 権限のある人だけ | 誰でも見られる |
| 検索 | 外部公開されにくい | 検索される可能性あり |
| 機密情報 | それでも入れない | 絶対に入れない |
| Codex作業 | 作業用に使いやすい | 公開前提なら慎重に |
| 注意点 | 権限管理が必要 | 公開範囲に注意 |
private repositoryに入れない情報表
| 入れない情報 | 理由 |
|---|---|
| APIキー | 不正利用リスク |
| パスワード | ログイン悪用リスク |
| トークン | 認証情報 |
| 秘密鍵 | サーバー侵入リスク |
| 顧客情報 | 個人情報・契約リスク |
| .env | 環境変数に秘密情報がある可能性 |
| DBダンプ | 個人情報や内部情報を含む可能性 |
Codex × GitHub Desktop 確認フロー
- Codexで修正する範囲と触らないファイルを決める
- GitHub Desktopで変更ファイルを見る
- 差分を確認する
- 秘密情報がないか見る
- 必要ならcommitする
- pushやmergeは慎重に判断する
やってはいけないこと
- private repositoryなら何でも安全と考える
- APIキー、パスワード、トークン、秘密鍵、GitHub Secretsの実値を入れる
- 顧客情報、会社情報、個人情報の実例をリポジトリに残す
- public/private設定変更、main直push、強制pushを軽作業扱いする
- GitHub Desktop、Codex、GitHub Copilotを万能扱いする
関連ページ
「見られる人」は4種類に分かれる
公開範囲を考える時、見られる相手を種類で分けると整理できます。
- 招待した個人 — 直接権限を渡した相手
- 組織のメンバー — 組織の設定によっては、招待していなくても見えることがあります
- 連携した外部サービス — 許可した範囲でアクセスします
- 管理者 — 組織の管理者は、通常より広い範囲を見られます
2番目と4番目が見落とされがちです。個人で作ったつもりでも、組織の下に置いていれば組織の設定が適用されます。どこに作ったかを確認してください。
範囲を確認する手順
今どうなっているかは、思い込みではなく実際に確認してください。
- リポジトリの所有者を見る — 個人か組織か
- 権限を持つ人の一覧を見る — 覚えていない相手が残っていないか
- 連携しているサービスを見る — 使っていないものが残っていないか
- 組織の設定を見る — 個人では変えられない部分があります
2番目と3番目は定期的に見てください。権限も連携も、増える方向にだけ動いて誰も減らしません。作業が終わった相手や、使わなくなったサービスが残ります。
範囲を狭めても残るもの
公開範囲を絞っても、すでに見られた内容は取り戻せません。次を前提にしてください。
- 複製された可能性 — 手元に複製した相手からは消せません
- 履歴に残った情報 — 消しても辿れます
- 外部サービスに渡った情報
範囲を狭めるのは「これから」への対策です。すでに含まれていた認証情報は、範囲を絞っても無効になりません。気づいた時点で、値そのものを作り直してください。
組織の下に置いた場合の違い
個人の下に作るか、組織の下に作るかで、見られる範囲の決まり方が変わります。
- 個人の下 — 招待した相手だけ。自分で管理できます
- 組織の下 — 組織の設定が優先されます。既定で全員に見える設定になっていることがあります
組織に移した時点で範囲が広がることがあります。移す前に、その組織の既定設定を確認してください。「個人のつもりで作ったものが、移動した瞬間に全員に見えていた」という形が起きます。
codexguide.jp 関連ページ
FAQ
private repositoryなら機密情報を入れてもよいですか？
いいえ。公開範囲を制限できても、APIキー、パスワード、トークン、秘密鍵、顧客情報はそのまま入れないのが基本です。
GitHub Desktopを使えば安全ですか？
画面で差分を確認しやすくなりますが、操作そのものが自動で安全になるわけではありません。commitやpushの前に人間が確認します。
Codex作業ではprivate repositoryが向いていますか？
公開前の作業や差分確認には使いやすいですが、秘密情報を入れてよいという意味ではありません。
GitHub Copilotの提案はそのまま使えますか？
そのまま採用せず、既存コード、ライセンス、秘密情報、動作確認を人間が見ます。
GitHubリポジトリ全体から見る
このページの内容は、リポジトリ名、公開範囲、private/public、branch、Pull Request、Secrets、GitHub Desktop、Codex連携まで含めて確認すると安全です。
リポジトリ設定の全体像へ戻る
公開範囲、権限、branch、Secrets、Pages、Danger Zoneは、単独ではなくリポジトリ全体の設定として見ます。