npm stage publishで新規パッケージが作れるように？初回公開の手順と承認フローを一次情報で解説（2026年10月2日発表）

AI開発ツールアップデート料金改定npmGitHubセキュリティ

GitHub が npm staged publishing を拡張し、npm stage publish で新しいパッケージを直接作成できるようになりました。2026年9月18日の発表時点では初回公開は対象外でした。新規作成の手順、0.0.0-stage プレースホルダーの挙動、承認（approve）までの流れを一次情報で整理します。

結論から言うと、npm の staged publishing（ステージド公開）が拡張され、npm stage publish を実行するだけで新しいパッケージを作成できるようになりました。2026年9月18日の発表時点では「ステージできるのはレジストリに既に存在するパッケージだけ」で新規パッケージの初回公開は対象外でしたが、2026年10月2日の発表でこの制限がなくなりました（出典: GitHub Blog Changelog「npm staged publishing now supports creating new packages」2026年10月2日・2026年10月6日取得）。対応しているのはスコープ付き・スコープなしの公開パッケージと、スコープ付きのプライベートパッケージです。

2026年10月2日、GitHub は npm staged publishing の拡張を発表しました。npm stage publish が、ローカルセッション・granular access token・stage-only トークンのいずれでも新規パッケージの作成に使えるようになります。初回バージョンはステージングキューに入り、メンテナーが承認（promote）するまでインストールはできません。パッケージ作成後は、設定管理や trusted publishing の構成が可能です。

本稿では、新規パッケージ作成の手順、新規パッケージをステージしたときの「0.0.0-stage」プレースホルダーの挙動、承認までの流れ、9月18日版との違いを、公式の一次情報だけから整理します。本文中の値はすべて出典付きで、取得日は 2026年10月6日です。

npm stage publish での新規パッケージ作成とは何か

npm stage publish は、パッケージをレジストリへ直接公開せず「ステージ」まで送信するコマンドです。今回の拡張で、レジストリに存在しない新規パッケージをステージすると、version 0.0.0-stage のプレースホルダーが公開され、そのパッケージが作成されます。ステージされた中身自体はメンテナーが承認するまで非公開で、インストールもできません（出典: npm Docs「Staged publishing」2026年10月6日取得）。

ステージング周りのコマンド一覧は次のとおりです（出典: npm Docs「Staged publishing」2026年10月6日取得）。

• npm stage publish — パッケージをステージングエリアへ送信（2FA 不要）
• npm stage list — アクセスできるステージ済みパッケージの一覧
• npm stage view <stage-id> — 特定のステージの詳細表示
• npm stage download <stage-id> — ステージ済み tarball のダウンロード（検査用）
• npm stage approve <stage-id> — 承認してレジストリへ公開（2FA 必須）
• npmjs.com では「Staged Packages」タブからも確認と Approve ができます（こちらも2FAの検証が必要）。

9月18日の発表から何が変わったのか

2026年9月18日の発表時点では、staged publishing はレジストリに既に存在するパッケージが対象で、新しいパッケージの初回公開には使えませんでした（出典: GitHub Blog Changelog 2026年9月18日）。初回公開は従来どおり trusted publishing や通常の公開経路で行う必要がありました。今回の拡張で、CI から初回公開まで自動化しつつ、公開の直前で人間の承認を挟むフローが新規パッケージでも作れるようになりました。

読者への影響として、CI から新規パッケージをそのまま自動公開するしかなかったチームは、「CI が stage まで行い、メンテナーが approve する」フローに寄せられます。トークンが漏れても承認なしにはリリースされないため、初回公開でも公開経路を絞れます。当サイトの stage-only npm トークンまとめ（2026年9月19日公開）では「新規パッケージの初回公開は対象外」と記載していましたが、この部分は今回の発表で変わりました。

新規パッケージを作る手順（初回公開の流れ）

1. 前提を整えます。npm CLI 11.15.0 以上・Node.js 22.14.0 以上が必要で、アカウントで2FAを有効にし、パッケージへの publish 権限を持っている必要があります（出典: npm Docs 2026年10月6日取得）。トークンを使う場合は、granular access token または stage-only トークンも使えます（出典: GitHub Blog Changelog 2026年10月2日）。
2. npm stage publish を実行します。新規パッケージの場合は version 0.0.0-stage のプレースホルダーが公開されてパッケージが作成され、中身は承認まで非公開です（出典: npm Docs 2026年10月6日取得）。
3. メンテナーが npm stage approve <stage-id>（または npmjs.com の「Staged Packages」タブの Approve）で承認します。承認には2FAの検証が必須で、ここで初めてインストール可能になります。

• 承認までの間は npm stage view・npm stage download で中身を確認できます。
• trusted publishing（OIDC）を使う CI からもステージング publish が可能です（出典: npm Docs 2026年10月6日取得）。

よくある質問

Q. スコープ付きのプライベートパッケージも作れますか？

作れます。GitHub の発表では、スコープ付き・スコープなしの公開パッケージに加えて、スコープ付きのプライベートパッケージの作成に対応しています（出典: GitHub Blog Changelog 2026年10月2日・2026年10月6日取得）。

Q. プレースホルダー（0.0.0-stage）はインストールできますか？

プレースホルダー自体は公開状態ですが、ステージされた中身は承認まで非公開でインストールできません（出典: npm Docs「Staged publishing」2026年10月6日取得）。承認（approve）後に正式なバージョンがインストール可能になります。

Q. stage publish にも2FAは必要ですか？

npm stage publish 自体は2FAを要求しません。2FAの検証が必須なのは、レジストリへ公開する承認（npm stage approve など）の側です（出典: npm Docs 2026年10月6日取得）。CI からは stage まで行い、承認はメンテナーが2FAで行う分業が作れます。

Q. だれが approve できますか？

パッケージへの publish 権限を持ち、2FAが有効なメンテナーです。CLI（npm stage approve <stage-id>）でも npmjs.com の Staged Packages タブでも承認できます（出典: npm Docs 2026年10月6日取得）。

AI開発ツール速報（当サイト）は、GitHub・npm・Cursor・VS Code など開発ツールの仕様変更や料金改定を、公式発表への出典付きで最速でお届けする速報メディアです。トークンや公開フローの変更はセキュリティ設定にも波及するため、発表日の当日に一次情報で確認できるようにしています。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針