GitHub、package firewallを公開試験 npm取得を検査

GitHubは2026年10月20日、ソフトウェア部品の取得を検査する「package firewall」の公開プレビューを開始しました。全てのGitHub Enterprise Cloud顧客が対象で、現在はnpmパッケージに対応します。利用には端末の要求先を変更する設定が必要で、契約しているだけで検査が始まる仕組みではありません。

npmの取得経路で検査し、企業単位でルールを設定

package firewallは、端末と取得元のパッケージリポジトリの間で通信を検査する仕組みです。GitHubによると、パッケージの名前や版などの情報を求めるメタデータ要求と、パッケージ本体の取得の両方を検査します。

管理者は企業単位でポリシーを設定します。ポリシーには、公開直後のパッケージをすぐに取り込まないための待機期間である「クールダウン期間」を設定できます。また、GitHub Advisory Databaseに登録されたマルウェアや脆弱性の警告を確認します。

GitHubは、パッケージの出所などを示す証明情報である「アテステーション」のダウングレードなども検査するとしています。誤って遮断されたパッケージについては、利用者が例外を申請できます。

導入時の確認対象は、開発者の端末だけではありません。GitHubは接続する端末の例として、処理を実行するActionsランナーや、コード作成などを担うコーディングエージェントも挙げています。どの環境からnpmパッケージを取得しているかを先に整理することが、検証の出発点になります。

試験中は無料、一般提供後は従量課金

公開プレビュー期間中は無料です。一般提供時はActionsと同様の従量課金になります。試験中の費用だけで導入を判断せず、一般提供後の課金を前提に検討する必要があります。

対象には、データの保存場所を管理するデータレジデンシーに対応したGitHub Enterprise Cloudも含まれます。一方、日本での提供は発表には書かれていません。

今回の発表は公開プレビューの開始です。正式運用に組み込むかどうかは、取得の遮断が開発作業にどう影響するか、例外申請を誰が扱うかと合わせて判断するのがよいでしょう。

影響する会社・しない会社

• 影響する: GitHub Enterprise Cloudを契約し、npmパッケージを利用する会社です。全顧客が公開プレビューの対象で、データレジデンシー対応環境も含まれます。
• 影響する: Actionsランナーやコーディングエージェントからnpmを取得している会社です。検査を利用するには、これらの環境でも要求先の変更を検討する必要があります。
• 影響しない: npm以外のパッケージだけを利用する環境です。現時点では、そのパッケージは検査対象に含まれません。
• 影響しない: 要求先を上流レジストリのまま変更していない端末です。今回の機能による検査には、ファイアウォールへ向ける設定が必要です。

情シスが今日やること

1. 検証候補を決める前に、契約と取得元を確認します。 GitHubの契約管理担当にEnterprise Cloudの利用有無を確認します。開発責任者には、npmを使うプロジェクトと、その取得元になっている端末・実行環境の一覧を依頼します。
2. 接続先を変える前に、対象環境の設定を確認します。 開発担当とともに、端末、Actionsランナー、コーディングエージェントのパッケージ取得先を確認します。具体的な管理画面名や設定箇所は発表には書かれていないため、変更手順を確認してから検証に進めます。
3. 検証開始前に、企業単位のポリシーと例外の扱いを決めます。 管理者と開発責任者で、クールダウン期間の設定方針を相談します。遮断時の連絡先と、利用者が例外を申請する際の社内窓口も決めて知らせます。
4. 本番利用を判断する前に、取得結果と課金条件を確認します。 検証対象で通常の取得と遮断時の業務影響を確認し、結果を開発責任者へ共有します。契約・予算担当には、無料なのは公開プレビュー期間中で、一般提供後は従量課金になる点を伝えます。