2026-10-15
認証情報・シークレットを扱うSmartyプラグインの保存制限について
認証情報を作るSmartyプラグインと、シークレット・サイト設定を読むSmartyプラグインについて、保存できる場所と保存できる人に制限を追加しました。どちらかの条件を満たさない場合、保存時にエラーとなり拒否されます。
対象のプラグイン
| 区分 | プラグイン |
|---|---|
| 認証情報を作る | login / api_mng / api_internal / assign_api_credential / api_token |
| シークレット・サイト設定を読む | secret / assign_rcms_conf / gcloud_functions_token |
制限の内容
| 条件 | 内容 |
|---|---|
| 場所 | カスタム処理・バッチ処理のみ。メールテンプレート、コンテンツ定義のトリガー設定・拡張項目テンプレート・CSS/JS、フォームの管理者宛メール件名・お礼メール（件名・本文）などには保存できません。 |
| 保存者 | スーパーユーザーのみ。編集ユーザーは、カスタム処理・バッチ処理の[新規作成]／[更新]権限を持っていても保存できません。 |
変更の背景
メール本文・拡張項目テンプレート・コンテンツ定義のCSS/JSは、そのモジュールの権限だけで編集できます。そこに {secret} や {api_internal member_id=...} を書けると、権限設定に現れないまま認証情報やシークレットに到達できてしまいます。このため、書ける場所をカスタム処理・バッチ処理に固定したうえで、その2つもスーパーユーザーに限定しました。
ご利用への影響
- これまでカスタム処理・バッチ処理以外の項目に上記プラグインを書いていた場合、その項目を次に保存するときに拒否されます。処理をカスタム処理に切り出し、
{function name="..." var="..."}または{include name="..."}で呼び出す形に移行してください。 - 編集ユーザーは、上記プラグインを含むカスタム処理・バッチ処理を保存できません。外部API連携やプロキシなどを実装する担当者には、スーパーユーザー権限が必要になります。
- 管理画面の[テストする]も同じ検査を通るため、編集ユーザーはテスト実行もできません。
- 上記プラグインを含むカスタム処理・バッチ処理は、プラグインに触れない編集（例: バッチの実行時刻の変更のみ）でも、保存にスーパーユーザーが必要です。
- Admin MCP 経由で上記プラグインを含むカスタム処理・バッチ処理を保存する場合は、
mcp:adminスコープが必要です。mcp:tools.allを含む委譲スコープでは保存できません。 - 既に保存されている処理の実行時の動作は変わりません。制限は保存時・テスト実行時のみ適用されます。
注意
管理画面には事前の注意表示はなく、編集ユーザーが制限に気づくのは[更新する]または[テストする]をクリックしたときです。該当するカスタム処理・バッチ処理の運用担当者の権限をご確認ください。
反映時期
本変更は2026年10月15日の正式版で反映されました。
お問い合わせ先
本件についてご不明点がございましたら、Kurocoサポートまでお気軽にお問い合わせください。
関連ドキュメント
サポート
お探しのページは見つかりましたか？解決しない場合は、問い合わせフォームからお問い合わせいただくか、Slackコミュニティにご参加ください。