AI ソロ開発の CI コストを gh-signoff で削る — ローカル CI とサインオフという選択肢

AI エージェントに実装させると PR とプッシュの回数が跳ね上がり、リモート CI の課金だけが静かに増えていきます。gh-signoff はテストをローカルで走らせて自分で署名するという、身も蓋もないが理に適った解を提示します。

npm 製 CLI ツールを特定顧客にセキュアに配る — ビルド・署名・配布パイプラインの設計

独自開発の npm 製 CLI ツールを、公開 npm に出さず特定顧客に配る。一見ただのパッケージングですが、実務では OS のセキュリティゲート（Gatekeeper・SmartScreen）の通過、改ざん防止の署名、そして顧客単位でアクセスを制御できる配布網の三つを同時に満たす必要があります。macOS・Windows を主対象に将来の Linux まで見据え、ビルドから署名・配布・サプライチェーン堅牢化までを一本のパイプラインとして設計します。

npm 公開を Trusted Publishing で多層防御する — トークンレス OIDC・ステージ公開・PR マージ起点リリースの設計

2025-2026 年の npm サプライチェーン攻撃を受けて、長期トークンによる公開はもはや既定の選択肢ではありません。GitHub Actions の OIDC を使う Trusted Publishing で publish secret をゼロにし、CI はステージ公開までしかできないように倒し、live 昇格は npm の MFA を要する別操作に分ける。さらに release Environment を PR マージ ref に絞り、リリース PR の生成自体も自動化する。リポジトリ書き込み権限ひとつでは live な npm パッケージを作れない多層防御を、実際に動くレシピとして組み立てます。

OV・EV コード署名証明書を日本から取得する — 法人・個人事業主・個人の資格と 2026 年の価格比較

「コード署名証明書はいくらか」の前に、「そもそも自分が取得できるのか」を確かめる必要があります。日本法人ならほぼどの CA でも取れて価格で選べますが、屋号なしの個人開発者は主要 CA で原則発行されず、Microsoft 自身のクラウド署名サービスは日本を地理的に除外しています。この記事は価格表だけでなく、申請主体と地域による取得資格を主軸に、日本法人・日本在住の個人がどの証明書をどう取得できるかを 2026 年時点で整理します。