Navide は CLI アカウントの認証情報とキーをクラウドにまとめて保存しておらず、今後も保存することはありません。これらはお使いのコンピューターにのみ保存されます。同期設定にあった「認証情報とキー」の項目は UI 上で常に無効になっており、オンにすることはできませんでした。この項目は 0.2.28 で削除しています。
今お知らせする理由
最近、一か所にまとめて保管されたキーに関わるセキュリティインシデントが業界で相次いでいます。
- Zeabur では 2026 年 8 月と 10 月にセキュリティインシデントが発生しました。公式レポートによると、攻撃者はプラットフォームのデータベースから、ユーザーのサービスの環境変数（API キーやデータベースのパスワードがよく保存されます）などを読み取りました。Zeabur はすべてのユーザーに認証情報の変更を求め、10 月 17 日にサービス終了を発表しています。（8 月のレポート、10 月の速報）
- OpenCode は 10 月 17 日、Console でのセキュリティインシデントを公表しました。報道によると、Console ユーザーの約 1.4% がクラウドのワークスペースに保存していた外部 AI サービスのキーが漏えいした可能性があり、OpenCode は該当ユーザーにキーの変更を求めています。（報道）
経緯を公開した両チームに感謝するとともに、影響を受けた皆さまにお見舞い申し上げます。キーを一か所に集めると、そこが破られたときに全員が影響を受けます。今回の出来事は、そのことを改めて示しています。そこで、Navide の方針を明文化することにしました。
すでに行った変更
- 同期設定の「認証情報とキー」の項目は UI 上で常に無効になっており、オンにすることはできませんでした。0.2.28 で同期設定から削除しています。
- Navide Cloud の同期で扱うのは、プロンプト、スキル、MCP、グローバル指示ファイルなどの Agent 資産の設定だけです。CLI アカウントの認証情報とキーは含まれません。
MCP 設定について（アカウントの認証情報とは別のものです）
MCP 設定はアカウントの認証情報ではありませんが、env などの欄にアクセストークンが入ることがよくあります。そのため、扱いを明記します。
- MCP 設定内のトークンは、同期前にデバイス上で暗号化され、サーバーでは復号できません。
- アップロードされるのは、MCP の同期をオンにしている場合だけです。
- MCP の同期は「設定 → Navide Cloud → 同期 → MCP」でいつでもオフにできます。
変わらない点
- ローカルでのアカウント認証情報の管理はこれまでどおりです。追加、アカウント切り替え、確認、削除は変わりません。
- 複数のコンピューターで同じアカウントを使う場合は、それぞれのコンピューターでサインインしてください。
今後の方針
- Navide は今後、API 転売方式のトークンプランを提供する予定です。利用量を Navide から購入する形のため、ご自身のキーを Navide に預ける必要はありません。詳細は別途お知らせします。
- アカウントの認証情報とキーを一元管理するサービスは、Navide では提供しません。
法人のお客さま
複数のデバイス間でアカウントの認証情報を同期する必要がある場合は、プライベートクラウド環境を構築し、データをお客さまの管理下にある環境だけに置く形でご提供できます。条件は個別にご相談ください。
お問い合わせ： navide.dev@gmail.com までメールでご連絡ください。
他のサービスにキーを保存したことがある場合は、そのサービスの案内に従ってキーを変更し、最近の利用状況と請求をご確認ください。