stage-only npm トークンとは？作り方・npm stage publish の使い方・2027年1月の2FAバイパス廃止への備えを一次情報で解説（2026年9月18日）

AI開発ツールアップデート料金改定npmGitHubセキュリティ

GitHub が npm の granular access token に新しい「Read and write (stage only)」権限を追加しました。CI からはステージまで、公開はメンテナーが2FAで承認する流れが作れます。作り方・必要な環境・2027年1月の2FAバイパストークン廃止計画への備えを一次情報で整理します。

結論から言うと、npm の granular access token に新しい「Read and write (stage only)」権限が追加され、CI からはパッケージをステージまで進め、公開はメンテナーが 2FA で承認する流れが作れます。2027年1月に予定される 2FA バイパストークン廃止への備えとして使えます。以下、作り方と必要な環境を一次情報の出典付きで解説します。

2026年9月18日、GitHub は npm の granular access token（きめ細かな権限を設定できるアクセストークン）に、新しい権限「Read and write (stage only)」を追加しました。このトークンを使うと、CI の自動化ワークフローはパッケージをレジストリへ直接公開せず、レビュー待ちの「ステージ」までを行えます。公開にはメンテナーが2要素認証（2FA）で承認する必要があるため、「トークンが漏れるとそのままリリースされる」というリスクを絞れるようになりました。

本稿では、stage-only トークンの作り方、npm stage publish の使い方、必要な環境（npm CLI 11.15.0 以降・Node.js 22.14.0 以降）、そして npm が 2027年1月を目標に進めている「2FA バイパストークンによる直接公開の廃止」への備えを、公式の一次情報だけから整理します。本文中の値はすべて出典付きで、取得日は 2026年9月19日です。

stage-only npm トークンとは何か

stage-only npm トークンとは、npm の granular access token の作成画面で新しく選べるようになった「Read and write (stage only)」権限を持つトークンのことです（出典: GitHub Blog Changelog「Stage-only npm tokens for safer automation」2026年9月18日）。

発表から、このトークンでできることとできないことは次のとおりです。

• できること: npm stage publish コマンドで、パッケージの新しいバージョンを「レビュー待ち」としてレジストリにステージする。メンテナーが2FAでレビュー・承認すると、そこで初めてリリースされる。
• できないこと: このトークンによる npm publish での直接公開。自動化用の2FAバイパスを設定していても、npm が拒否します。
• 既存トークンへの影響: なし。この機能はオプトインで、既存のトークンやその直接公開機能には影響しません。なお、stage-only トークンでも dist-tags の移動やバージョンの非推奨化（deprecate）など、他の書き込み権限は通常の書き込みトークンと同様に残るため、GitHub の発表は慎重な管理を呼びかけています。

stage-only トークンの作り方と使い方（3ステップ）

GitHub の発表に書かれた導入手順は、次の3ステップです。

1. ワークフローが必要とするパッケージに対して、「Read and write (stage only)」権限を持つ granular access token を作成する。
2. ワークフローで使っている公開用トークンを差し替え、npm publish の代わりに npm stage publish を実行する。
3. メンテナーがステージされたバージョンを2FAでレビュー・承認する。承認でリリースされます。

使うための要件と、ステージの確認・承認コマンド

ステージド公開（staged publishing）は既存の npm パッケージで動作します。npm Docs「Staged publishing」（最終編集 2026年5月20日、取得日 2026年9月19日）と GitHub の発表から、要件と運用コマンドは次のとおりです。

• 環境の要件: npm CLI 11.15.0 以降、Node.js 22.14.0 以降。npm アカウントで2FAを有効化していること。
• 権限の要件: 該当パッケージへの publish 権限を持っていること。また、ステージできるのはレジストリに既に存在するパッケージだけで、新しいパッケージの初回公開には使えません。
• 提出側のコマンド: npm stage publish でステージへ提出します。npm Docs によると、このステップに2FAは不要です。2FAが必須になるのは承認の時点です。
• 確認・検査側のコマンド: npm stage list でアクセス可能なステージ済みパッケージの一覧、npm stage view <stage-id> で特定のステージの詳細、npm stage download <stage-id> でステージ済み tarball のダウンロードができます。提出物の中身を確認してから承認に進めます。
• 承認側の手順: npm stage approve <stage-id> を実行するか、npmjs.com の「Staged Packages」タブから「Approve」ボタンで承認します。CLI・サイトのどちらの経路でも2FAの検証が求められ、通るとレジストリに公開されます。

なぜ今この機能なのか・2027年1月の廃止計画への備え

npm は以前から、2027年1月を目標に「2FAバイパストークンによる直接公開」を廃止する計画を告知しています。今回の GitHub の発表（2026年9月18日）は、この機能を trusted publishing（OIDC による信頼済み公開）へ移行できない場合の経路として位置づけています。つまり、CI で2FAバイパス付きトークンを使って直接 npm publish しているチームは、続けられる期限が決まっているということです。

• 移行先の選択肢 1: trusted publishing（OIDC）。CI からトークンを発行せずに公開する仕組みです。npm Docs によると、trusted publishing からも staged publishing で提出し、メンテナーが2FA付きでレビュー・承認する流れが使えます。
• 移行先の選択肢 2: staged publishing。stage-only 権限のトークンでステージし、人が2FAで承認します。本稿の主題はこちらです。
• 詳しい仕様の議論: npm のコミュニティディスカッションで公開されています（出典: GitHub Changelog 2026年9月18日からの参照先）。

CI の公開フローをどう変えるか（実務的な視点）

今回の変更で変わるのは「CI が持つ権限の上限」です。従来の2FAバイパス付きトークンでは、トークンが漏れた時点で誰でもそのパッケージの新しいバージョンを公開できました。stage-only トークンに変えると、CI ができるのはステージまでで、リリースは人が2FAを通さないと実行されません。出典: GitHub Blog Changelog 2026年9月18日、npm Docs「Staged publishing」（取得日 2026年9月19日）。

移行の作業量は、ワークフロー側では「トークンの作り直しと npm publish の差し替え」だけです。一方で承認ステップが増えるため、毎回リリースする運用では人の手間が1ステップ増えます。既に trusted publishing（OIDC）で公開している場合、今回の変更で既存の流れが壊れることはありません（機能はオプトインのため）。なお、公式の移行期限や、ステージの保持期間については、今回取得したページには記載がありません。2027年1月の廃止目標が現時点で公表されている最大の目安です。

関連記事: GitHub Actions ワークフロー実行保護 ／ コードカバレッジ ruleset REST API

よくある質問

Q. stage-only トークンで npm publish はできますか？

できません。このトークンでの直接公開は、2FAバイパスの設定があっても npm に拒否されます。トークンでできるのは npm stage publish によるステージまでで、公開にはメンテナーの2FA付き承認が必要です（出典: GitHub Blog Changelog 2026年9月18日）。

Q. npm stage publish に2FAは必要ですか？

ステージの提出には2FAは不要です。npm Docs によると、npm stage publish は2FAを要求しません。2FAが必須なのは、ステージを承認して公開するステップです（出典: npm Docs「Staged publishing」、取得日 2026年9月19日）。

Q. ステージしたパッケージはどうやって承認・公開しますか？

npm stage approve <stage-id> を実行するか、npmjs.com の「Staged Packages」タブから「Approve」を押します。どちらの経路でも2FAの検証が求められ、通るとレジストリに公開されます。承認前の中身は npm stage view や npm stage download で確認できます。

Q. 新しく作ったパッケージもステージできますか？

できません。ステージド公開はレジストリに既に存在するパッケージだけが対象で、新しいパッケージの初回公開には使えません（出典: npm Docs「Staged publishing」）。初回公開は従来どおりの公開経路か、trusted publishing を検討する必要があります。

Q. 既存の2FAバイパストークンはいつまで使えますか？

npm は 2027年1月を目標に、2FAバイパストークンによる直接公開を廃止する計画を告知しています（出典: GitHub Blog Changelog 2026年9月18日）。それまでに、trusted publishing か staged publishing への移行を検討する必要があります。今回追加された stage-only トークンは、その移行先の一つです。

AI開発ツール速報（当サイト）は、GitHub・npm・Cursor・VS Code など開発ツールの仕様変更や料金改定を、公式発表への出典付きで最速でお届けする速報メディアです。今回のようなトークン運用の変更は CI の設定に直接影響するため、更新があったら当サイトの一覧で確認できます。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針