本番運用準備チェックリスト

ログインすると、進捗を複数のデバイスで保存できます。ログインするまでは、このブラウザに保存されます。

すべての項目にエビデンス（テスト実行結果、スキャン結果、スクリーンショット、ログへのリンク）が必要です。「AI がそう言った」はエビデンスではありません。

Gate 1：今すぐ対応（実ユーザー、実データ、実際のお金を扱う前に）→ L1 Vibe Builder

セキュリティ

• すべてのテーブルに Row-Level Security／テナントスコープを設定し、ユーザー A がユーザー B のデータを読み書きできないことをテストで確認済み証拠
• すべてのエンドポイントとオブジェクトで、認可をサーバー側でチェックしている証拠
• git 履歴とフロントエンドバンドルにシークレットが一切ない（gitleaks とバンドル検索で確認）証拠
• すべての有料 API（LLM、SMS、メール、地図）に支出上限を設定している証拠
• ログイン、サインアップ、パスワードリセット、OTP、高コストなエンドポイントに rate limiting を設定している証拠
• 実績のある認証プロバイダーを使い、Cookie はセキュアに設定し、管理者には MFA を提供している証拠
• パラメータ化クエリのみを使い、出力をエスケープし、CSP を設定している証拠
• URL を取得する機能すべてに SSRF 対策を施している証拠
• CORS は許可リスト方式。Cookie 認証では CSRF 対策を施している証拠
• DB 接続を含むすべての通信で TLS を使い、HSTS を有効にしている証拠
• DB、ストレージ、バックアップで保存データを暗号化している証拠
• エラー時はフェイルクローズし、スタックトレースをユーザーに見せない証拠

正確性とデータ

• DB 制約で主要な不変条件を強制している証拠
• 絞り込み／結合に使うカラムにインデックスがあり、主要ページに N+1 がない証拠
• サーバーレス向けにコネクションプーリングを設定している証拠
• 決済、注文、すべての外部への副作用に idempotency（冪等性）を確保している証拠
• お金や在庫に関わる処理経路で並行実行テストを行っている証拠
• すべてのスキーマ変更をバージョン管理されたマイグレーションで行っている証拠

信頼性

• すべての外部呼び出しにタイムアウトを設定している証拠
• リトライは一時的なエラーに限定し、バックオフとジッターを入れている証拠
• Webhook は署名を検証し、重複を排除し、非同期で処理している証拠
• Cron ジョブは冪等であり、監視されている証拠

リリースと運用

• すべての PR で CI が lint、型チェック、テスト、スキャンを実行し、main ブランチは保護されている証拠
• lockfile をコミットし、新しい依存パッケージが実在し、メンテナンスされていることを確認している証拠
• 1分以内のロールバックを実証済み証拠
• ヘルスチェック用エンドポイントと稼働監視がある証拠
• リクエスト ID 付きの構造化ログがあり、シークレットや個人情報を含まない証拠
• エラー率、支出の急増、ダウンタイムにアラートを設定している証拠
• 自動バックアップがあり、復元に1回以上成功している証拠
• 静的アセットの前段に CDN を置き、DNS レコードを文書化している証拠

AI 機能

• 本番環境の認証情報を持つエージェントが存在しない証拠
• 不可逆な操作や外部に影響するエージェントの操作には、すべて人間の承認が必要証拠
• LLM の出力を信頼できない入力として扱っている証拠
• 1回の実行あたりのトークン予算と最大ステップ数を設定している証拠

法務

• プライバシー通知があり、同意を記録し、データのエクスポートと削除の手段を用意している証拠
• 通知期限を含むデータ侵害対応チェックリストがある証拠

Gate 2：GROWTH（有料顧客、チーム、または無人で流れるトラフィックがある段階）→ L2 Vibe Engineer

• 明示的な無効化を伴うキャッシュがあり、共有キャッシュに個人データを置いていない証拠
• DLQ とリプレイ機能を備えたバックグラウンドジョブの仕組みがある証拠
• 重要な依存先にサーキットブレーカーとフォールバックを用意している証拠
• Liveness Probe と Readiness Probe を区別している証拠
• API、キュー、ワーカー、LLM にまたがる OpenTelemetry のトレーシングがある証拠
• 重要なユーザージャーニーに SLO を設定し、バーンレートアラートと Runbook を用意している証拠
• フィーチャーフラグとローリングデプロイを導入している証拠
• Expand-and-contract 方式のマイグレーションを行っている証拠
• API バージョニングと非推奨化ポリシーがあり、OpenAPI のコントラクトテストを行っている証拠
• JWT ローテーション／短命なトークンを使い、エンタープライズ顧客向けに SSO を提供している証拠
• WAF とボット対策を導入している証拠
• Infrastructure as Code で管理している証拠
• SBOM があり、依存関係とコンテナのスキャンを行っている証拠
• LLM 機能向けの Eval とレッドチームのテストスイートを CI で実行している証拠
• 管理者とエージェントの操作について監査ログを記録している証拠
• RPO/RTO を定義し、PITR、改ざん不能な別アカウントのバックアップ、四半期ごとの復元訓練を行っている証拠
• オンコール体制、インシデント対応プロセス、ステータスページ、ポストモーテムがある証拠
• 負荷テストで確認したキャパシティを文書化している証拠
• ユーザーあたり、AI タスクあたりのコストを追跡している証拠

Gate 3：SCALE／ENTERPRISE → L3 Enterprise Vibe Architect

• 自動分析を伴うカナリアリリースまたは Blue-Green デプロイ証拠
• read-your-writes を考慮したリードレプリカ証拠
• 大量データ向けのテーブルパーティショニング証拠
• 上限をテスト済みのオートスケーリング証拠
• マルチゾーンの高可用性構成と、リージョン／プロバイダー喪失に備えたテスト済みの DR 計画証拠
• カオスエンジニアリングのゲームデイを定期的に実施証拠
• ビジネス側と合意したエラーバジェットポリシー証拠
• 継続的なエビデンス収集を伴う SOC 2 Type II または ISO 27001 のプログラム証拠
• IMDA MGF／ISO 42001／NIST AI RMF に対応付けた AI 台帳とガバナンス証拠
• 業界固有の規制への対応（例：フィンテックにおける MAS TRM）証拠
• 調達審査向けのトラストパッケージを準備済み証拠