NativeKeel

NativeKeel

React Native と Expo アプリのヘルスチェックです。次のアップグレードに耐えられますか？ストアの審査に通り、安全性を保てますか？インストールもアカウント登録も不要で、コマンドを 1 つ実行するだけです：

npx nativekeel upgrade   # go/no-go for the newest React Native / Expo, with file and line
npx nativekeel           # full health check: upgrade, store rules, crashes, security, accessibility

ターミナルが使えない場合は、nativekeel.com/check に package.json を貼り付けてください。同じ依存関係チェックとアップグレード計画をブラウザー上で実行できます。

GitHub Actions（すべてのプルリクエストに品質ゲートのコメントを投稿）、SonarQube（既存のプロジェクトで検出結果を確認し、品質ゲートに反映）、AI コーディングエージェント（Claude Code、Codex、Cursor 用の MCP サーバー）で利用できます。アプリが複数ある場合は、npx nativekeel fleet で1 つのページにまとめて表示できます。

**0.1.130 の新機能：**Expo の管理対象アプリでも Google Play の target SDK をチェックするようになりました。expo-build-properties で targetSdkVersion が 36 未満に固定されている場合は報告します。これにより、Expo SDK をアップグレードしても、11 月 1 日以降に更新で必要となる水準を下回ったままになるのを防げます。最近のリリースでは、アプリを起動するディープリンクが失われる UIScene の設定の検出、React Native が削除した API をまだ呼び出す 30 のライブラリ一覧、npx nativekeel upgrade（最新の React Native／Expo にアップグレードできるかの判定）、ロックファイルの依存関係ツリー内にある既知のマルウェアの検出、そして積極的に悪用されている Metro 開発サーバーの脆弱性 CVE-2025-11953 の検出も追加されました。誤検知を避けるため、すべてのチェックはオープンソースの React Native および Expo プロジェクト 1,100 件以上で調整されており、最近更新されたプロジェクトも毎週追加しています（精度の測定結果）。すべてのリリース →

Summary  4 critical · 4 high · 6 medium · 6 low
Security (OWASP MASVS)  crypto 1 · network 1 · code 1  ·  7 finding categories; not a compliance verdict

Start here
  1. Revoke the AWS access key ID in src/App.js:6 at the provider today.
  2. Set targetSdkVersion = 36 and compileSdkVersion = 36 in android/build.gradle.
  3. Replace @react-native-community/push-notification-ios: no New Architecture support, unmaintained.

データを盗まれたり、アプリを悪用されたりする可能性はありますか？

npx nativekeel security . --html security.html --fail-on high

シークレット、認証情報の漏えい、バックエンドのアクセスルール、安全でないコード実行、トランスポート、依存関係のリスクを、1つのレポートで確認できます。新しいフロー／設定の検出結果では、入力元、使用箇所、攻撃者に必要な条件、修正の検証方法が示されます。--offline を使うとスキャンはオフラインで実行され、オンラインのアドバイザリーチェックはスキップされます。ソースコードがアップロードされることはありません。

ビルド時に追加されるキー。 EAS または CI のシークレットに設定された EXPO_PUBLIC_ 値はリポジトリ内に現れないため、ソーススキャンでは検出できませんが、アプリには含まれます。NativeKeel はビルド済みアプリも開き、その中の JavaScript バンドルをスキャンします。通常の JavaScript と Hermes バイトコードの両方が対象です。android/app/build/outputs 内の APK と AAB、eas build --local の生成物、コミット済みバンドル、および --artifact app.apk で指定した APK、AAB、IPA が対象になります（GitHub Action の artifact 入力では、ビルドステップの後に指定します）。

これはソースコードの解析であり、実際の攻撃やセキュリティ証明書ではありません。セキュリティチェックと対象範囲 · モバイルフローの詳細 · ネイティブ Android の詳細。

チェック項目

アップグレード

• React Native／Expo のバージョンは、引き続きサポートされていますか？ React Native では最新の3つのマイナーバージョンがサポートされます。Expo プロジェクトでは、React Native のバージョンは SDK と連動します。
• そもそもアップグレードできますか？ レガシーアーキテクチャは 0.82 で削除されました。新アーキテクチャが無効になっている場合（0.76 より前ではデフォルトで無効です）、0.81 が上限です。
• どのパッケージがアップグレードを妨げていますか？ 新アーキテクチャに対応していないネイティブモジュール（パッケージ独自の codegen 仕様と照合）、メンテナンスされていないパッケージや何年もリリースがないパッケージ、検証済みの代替パッケージや名称変更されたパッケージを確認します。各ステップでのライブラリのバージョンは、各ライブラリ独自の互換性表に基づいています。
• 使われていない可能性があるパッケージはどれですか？ インポート、ネイティブ参照、要件、パッチが見つからなかったインストール済みパッケージを確認します。静的スキャンでは動的な使用や生成された使用箇所を検出できない場合があるため、自動削除せず、確認対象として一覧表示します。

ストア

• 次のビルドは Google Play と App Store で受け入れられますか？ targetSdk、Google Play で制限される権限（写真／動画、すべてのファイル、バックグラウンド位置情報、アプリのインストール、SMS）、16 KB メモリページ（ビルド済みの APK／AAB も開き、すべてのネイティブライブラリを確認します）、iOS のプライバシーマニフェストと、それに対応するには古すぎる SDK、Info.plist の使用目的の説明の不足、アカウント削除に対応していないサインアップ、Apple でサインインに対応していないソーシャルログイン、デバッグキーで署名されたリリースビルドを確認します。

クラッシュ

• 実行時にクラッシュしますか？ Expo SDK が想定するバージョンと異なるパッケージ、リリースビルドなのに開発サーバーを参照する設定、新しい React Native を必要とするネイティブライブラリ、Babel プラグインまたは react-native-worklets がない Reanimated、メジャーバージョンが混在する @react-native-firebase/* または @react-navigation/*、依存関係内の React または React Native の重複、 新アーキテクチャの相互運用レイヤー経由で読み込めない Kotlin モジュール、Release でクラッシュする AppDelegate の設定、iOS が要求する Info.plist の説明文がないカメラ／写真／位置情報へのアクセス、React Native コアから削除された API（AsyncStorage、Picker、ViewPropTypes、…）や削除予定の非推奨 API（ImageBackground、SafeAreaView）のインポート、および実際のアップグレードで得られた注意点を確認します。 OWASP MASVS による分類別セキュリティ
• アプリやリポジトリ内のシークレット： AWS、Stripe、OpenAI、Anthropic、GitHub、Slack、SendGrid、Twilio、Shopify、Google OAuth、Supabase の service_role キー、秘密鍵、バンドルにコンパイルされた .env の値、Expo の extra／EXPO_PUBLIC_／eas.json のシークレット、署名キー、パスワード。
• デバイス上のデータ： 暗号化されていない MMKV、expo-sqlite、Realm データベースを公開する iOS のファイル共有（iOS ではデフォルトで Documents に保存されます）、クラッシュレポート、分析ツール、データベース、プレーンな AsyncStorage に流れ込むパスワード（変数をたどって追跡）、暗号化されていないストレージ内の認証トークン、それらをコピーする Android のバックアップ。
• ネットワーク： ネイティブコードで無効化された TLS 証明書チェック、クリアテキスト HTTP、NSAllowsArbitraryLoads、プレーン HTTP の API 呼び出し、本番環境でのユーザーインストール CA。
• バックエンドのルール： Firebase Realtime Database、Firestore、Storage のルールが誰にでも開放されている、またはテストモードになっている状態、行レベルセキュリティなしで作成された Supabase テーブル、サインインのみを条件とする Firebase の書き込みルール、行の所有権チェックを伴わない無条件の Supabase UPDATE／DELETE ポリシー。ポリシーに関する検出結果には、ファイル／行の証拠が含まれ、デプロイと権限の前提が説明されます。
• 認証： 生体認証プロンプト（Face ID、Touch ID、指紋認証）の成功を JavaScript で「はい／いいえ」として判定するだけで、キーチェーン／キーストア、JS、ネイティブコード内のシークレットが生体認証に紐付けられていない状態。プロンプトが保護するのは画面であり、データではありません。
• 暗号化： ハードコードされた暗号化キー、パスワードへの MD5／SHA-1 の使用、ECB モード、ノンスとソルトへの Math.random の使用。
• プラットフォーム： ローカルファイルを読み取る WebView、または HTTPS 内で HTTP を読み込む WebView、あらゆるアプリから起動できる Android コンポーネント、検証されていないディープリンク、テンプレートの myapp:// URL スキーム。
• 依存関係とリバースエンジニアリング： 実際に出荷する正確なバージョンに存在する既知の脆弱性（GitHub Advisory Database）、アプリ内のソースマップ、無効化された Hermes または R8。

これらは静的チェックです。よくある検出可能なミスを見つけますが、実行中のアプリとバックエンドに対するペネトレーションテストですべてを検出できるわけではありません。

パフォーマンス

• リリースバンドルの実際の構成は？ npx nativekeel bundle は、リリースビルドで既に出力されたソースマップ（Android：android/app/build/generated/sourcemaps/react/release/、Expo：npx expo export --dump-sourcemap）を読み込み、出荷するコードのうちアプリ本体と各パッケージが占める割合や、二重にバンドルされているパッケージを測定します。--base old.map を指定すると、2つのビルドを比較し、追加、削除、またはサイズが増加した内容を確認できます。ビルドも実行も行われず、通常のスキャンでもソースマップが検出されます。
• パフォーマンスをどこから調査すべきですか？ 入れ子になったリストのパターン、JavaScript アニメーションの設定、ソース内のログ呼び出し、ルートレベルの lodash／moment インポート、500 KB を超える参照画像、JavaScript バンドルにインポートされた 300 KB を超える JSON（各言語の翻訳、Lottie アニメーション）、セレクターの割り当てパターンです。変更する前に、実際のコンポーネント、リリース出力、実行時の動作を確認してください。これらのチェックでは、フレームレート、起動時間、削減効果は測定されません。 アクセシビリティ
• 誰もが使えますか？ アクセシビリティラベルのないアイコンのみのボタン（VoiceOver と TalkBack では「ボタン」とだけ読み上げられます）、hitSlop のない 44×44 未満のボタン、WCAG のコントラスト比を下回る文字色と背景色（どちらもコードで設定）、ラベルまたはプレースホルダーのないテキストフィールド、アプリ全体で無効化されたテキストの拡大設定です。Text.defaultProps も検出対象です。React 19（React Native 0.78 以降）では JSX 内で無視されるため、アプリ全体のフォント設定やフォント拡大の上限がいつの間にか適用されなくなります。チェック対象は React Native 独自のタッチ可能要素と入力要素のみです。カスタムコンポーネント、フォーカス順序、色のコントラストについては、スクリーンリーダーを使ったテストが引き続き必要です。

アプリ改善レビュー

npx nativekeel improve /path/to/app --offline
npx nativekeel improve /path/to/app --offline --out IMPROVE.md

既存のセキュリティ、安定性、パフォーマンス、ストア、依存関係に関する指摘を、理由、適用条件、対応、検証、復旧策とともに、順序付けられた計画にまとめます。認証情報が漏えいしている場合は、封じ込めの手順を示します。使われていないように見える依存関係は、レビュー候補です。削除する前に、直接的、推移的、動的、ネイティブ、生成された各コンシューマーを考慮する必要があります。パフォーマンスのシグナルは測定値ではありません。

構造化出力には --json を、MCP では improve_app を使用してください。マルウェアの検出結果がある場合、実行を伴うアクションはブロックされます。ランタイム、バックエンド、アクセシビリティ、信頼性のカバレッジが不明な場合は、その旨を明示します。これは既存のチェックに判断レイヤーを追加するものであり、新たな脆弱性検出機能を追加するものではありません。対象範囲と次のモジュールを参照してください。

使い方

npx nativekeel [path]              # report
npx nativekeel plan --out UPGRADE.md   # step-by-step upgrade plan
npx nativekeel --html report.html  # shareable HTML report
npx nativekeel --markdown pr.md    # summary for a pull request comment
npx nativekeel --sarif nk.sarif    # GitHub code scanning
npx nativekeel --sonar nk-sonar.json  # SonarQube external issues
npx nativekeel --json              # machine-readable output
npx nativekeel --fail-on high      # exit 1 on high or critical (default: critical)
npx nativekeel --offline           # no network at all, local checks only
npx nativekeel --verbose           # list every outdated package
npx nativekeel fleet ~/clients     # every app in a folder side by side

すべて無料です。重大な問題が見つかるとスキャンはコード 1 で終了するため、CI のゲートとして使用できます。

アップグレード計画

nativekeel plan はレポートを順序付けられた作業計画に変換します。情報漏えいを止め、UI フローのセーフティネットを整え、クラッシュのリスクを修正し、ストアの期限に対応し、セキュリティ上の問題を解消し、ブロッキングパッケージを置き換え、適切なタイミングで新しいアーキテクチャを有効にします。その後、Upgrade Helper の差分と各段階で必要なライブラリのバージョンへのリンクを添えて、React Native（または Expo SDK）を、小さくレビューしやすい段階に分けてアップグレードします。パフォーマンスの修正と定期的な更新は最後に行います。

GitHub Action

# .github/workflows/nativekeel.yml
name: NativeKeel
on: [pull_request]
permissions:
  contents: read
  security-events: write   # only needed with sarif: true
jobs:
  health:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v7
      - uses: actions/setup-node@v7
        with: { node-version: 20 }
      - run: npm ci
      - uses: AlicanAkyol/nativekeel@v0
        with:
          fail-on: critical
          baseline: .nativekeel-baseline.json   # optional
          sarif: true                           # findings inline in the PR

レポートはジョブのサマリーに追加されます。各プルリクエストに、そのプルリクエストで追加または修正された内容を反映したコメントを常に1件表示するには、ジョブに pull-requests: write を付与し、pr-comment: true を設定してください。

permissions:
  contents: read
  pull-requests: write
# …
      - uses: AlicanAkyol/nativekeel@v0
        with:
          pr-comment: true

コメントはベースコミットとプルリクエストを比較し（コードは実行されません）、プッシュのたびに新しいコメントを追加するのではなく、既存のコメントを更新します。フォークからのプルリクエストには読み取り専用トークンが付与されるため、ジョブのサマリーのみが表示されます。

ベースラインを指定すると、ベースライン以降に新たに見つかった項目のみがビルドを失敗させます。

npx nativekeel --save-baseline .nativekeel-baseline.json   # commit this file

AI コーディングエージェントで使用する（MCP）

Claude Code、Codex、Cursor、VS Code、または任意の MCP クライアントから NativeKeel に、プロジェクトの問題点やアップグレード方法、使用中の React Native のバージョンに対応するライブラリのバージョンを確認できます。推測する必要はありません。インストールすると、エージェントは React Native や Expo のアップグレード、ネイティブライブラリの追加、ストアリリースの準備、または自分で作成していないプロジェクトの実行に先立ち、プロジェクトを確認します。

Claude Code（プラグイン：MCP サーバーと、Claude に使用するタイミングを伝えるスキル）：

claude plugin marketplace add AlicanAkyol/nativekeel
claude plugin install nativekeel@nativekeel

または、MCP サーバーのみを使用します：claude mcp add nativekeel -- npx -y nativekeel@latest mcp

Codex（プラグイン：MCP サーバーと同じスキル）：

codex plugin marketplace add AlicanAkyol/nativekeel
codex plugin add nativekeel@nativekeel

または、~/.codex/config.toml で MCP サーバーのみを使用します：

[mcp_servers.nativekeel]
command = "npx"
args = ["-y", "nativekeel@latest", "mcp"]

その他のエージェント（MCP は不要）：プロジェクトの AGENTS.md または CLAUDE.md に次の行を追加します：

Before upgrading React Native or Expo, adding a native library, or preparing a store release, run `npx -y nativekeel@latest --json` and fix the critical and high findings first.

公式 MCP Registry にも io.github.AlicanAkyol/nativekeel として掲載されています。

ツール：scan_project（file:line 形式の場所と修正方法を含む検出結果）、measure_bundle（ソースマップに基づくリリースバンドルの構成）、upgrade_plan（順序付きの手順）、check_library（最新バージョン、New Architecture のサポート状況、メンテナンス状況、指定された React Native バージョンで動作するバージョン範囲、既知の注意点）、explain_error（ビルド、起動、クラッシュ、ストア審査でのエラーの意味、修正方法、このプロジェクトへの影響箇所）、verify_upgrade（アップグレード後に、修正された内容と直近のコミットからの新たな変更を確認）。MCP を使わない場合：npx nativekeel explain "<error>" --path . と npx nativekeel verify。サーバーは読み取り専用で、起動したディレクトリ配下と NATIVEKEEL_MCP_ROOTS（クライアントが別のフォルダーからサーバーを起動する場合に設定）にあるフォルダーのみをスキャンします。結果にはソースファイルとパッケージ以外のプロジェクト名は含まれません。一般的な指示風のパターンはフィルタリングされますが、プロンプトインジェクションを完全に防ぐものではありません。マルウェアが検出された場合、アップグレード計画は中断されます。verify_upgrade.ok は新たな重大な検出結果がないことを示し、safety.blocked は現在のマルウェアを別途報告します。プラグインフォルダー内で起動されたサーバー（Codex）では、ホームフォルダーが境界として使われます。ただし、NATIVEKEEL_MCP_ROOTS が設定されている場合は、そのパスのみが対象です。SECURITY.md を参照してください。

レーティングと複数アプリの一括スキャン

各レポートでは、SonarQube のコード評価と同じように、6 つの領域を A から E で評価します。セキュリティ、ストア、安定性、アップグレード、パフォーマンス、アクセシビリティです。A はその領域でスキャン結果がなかったこと、B は低リスクの指摘のみ、C は中リスク、D は高リスク、E は重大な指摘が少なくとも 1 件あることを示します。レーティングはスキャンで見つかった内容を示すもので、保証ではありません。

npx nativekeel fleet [folder ...] は、指定したフォルダー内にあるすべての React Native アプリと Expo アプリをスキャンします（クライアントプロジェクトが並んでいる場合や、モノレポ内のすべてのアプリが対象です）。最も深刻なものから順に、バージョン、6 つのレーティング、重大および高リスクの指摘件数、各アプリが直面するストアとサポート終了の期限を 1 つの表に表示します。--html fleet.html で共有可能なページとして保存できます。--markdown と --json も使用でき、--fail-on はすべてのアプリに適用されます。

npx nativekeel fleet ~/clients --html fleet.html --brand "Acme Mobile"
npx nativekeel fleet ~/clients --json > fleet-2026-10.json     # keep this month's run
npx nativekeel fleet ~/clients --base fleet-2026-10.json       # next month: what changed per app

--base を指定すると、各アプリについて前回の実行からの変更（「Security D→B, critical 2→0」）が表示され、新規アプリや削除されたアプリも一覧表示されます。npx nativekeel compare before.json after.json を使うと、レーティングを含め、1 つのアプリについて同じ比較ができます。

GitHub 組織内のすべてのアプリを毎月スキャンするには、examples/fleet-workflow.yml を組織内の任意のリポジトリの .github/workflows/ にコピーします。毎月 1 日に、ランナーがリポジトリをクローンしてスキャンし、前月の結果と比較して、実行サマリーに表を書き込みます。fleet.html と fleet.json は実行のアーティファクトとして保存されます。プライベートリポジトリには読み取り専用の FLEET_TOKEN シークレットが必要です。NativeKeel が何かをアップロードすることはありません。

すでに SonarQube をお使いですか？npx nativekeel --sonar nativekeel-sonar.json を実行すると、SonarQube の汎用イシュー形式で指摘が書き出されます。スキャナーに -Dsonar.externalIssuesReportPaths=nativekeel-sonar.json を渡すか、GitHub Action で sonar: nativekeel-sonar.json を設定してください。セキュリティの指摘は脆弱性として、ストアのルール違反とクラッシュのリスクはバグとして、アップグレードなどその他の指摘はコードスメルとして、それぞれ該当するファイルと行に報告されます。SonarQube Community Build 26.10 でテスト済みです。詳細は nativekeel.com/sonarqube をご覧ください。

プルリクエストでは、GitHub Action のコメント（pr-comment: true）の冒頭に品質ゲート（変更によって重大または高リスクの指摘が追加されなければ合格）とレーティング、変更内容が表示されます。

package.json の隣に置く .nativekeel.json には、ゲートのレベル、チームが受け入れた指摘、アプリの一部ではないフォルダー（Web ダッシュボードやバックエンドなど）を理由とともに記録でき、チームの判断をリポジトリに保存できます。また、ビルドを失敗させるチェック（gate）や、受け入れた指摘を再確認のために再表示する until 日付も設定できます。通常、チームは自分たちのコードで正しいと確認できたチェックだけを最初にゲートの対象にし、それ以外はレポートとして残します。レポート内の各指摘には、角括弧内に ID が表示されます。インポートから到達できないファイル内の指摘には「インポートから到達できないコード内」とラベルが付きます。そのような箇所のクラッシュ、パフォーマンス、アクセシビリティに関する指摘は引き下げられますが、セキュリティの指摘のレベルは維持されます。計算されたパスでファイルを読み込むプロジェクト（require.context、import(variable)）には、このラベルは一切付きません。--fail-on の設定は常に優先されます。無視された指摘もレポートには記載されますが、マルウェアの警告は無視できません。

{
  "failOn": "high",
  "gate": ["secret:*", "backend-admin-in-bundle:*", "ci-*", "android-16kb-libs"],
  "ignore": [
    { "id": "flipper", "reason": "Removed in the 0.80 upgrade, sprint 42" },
    { "id": "a11y-small-touch-target*", "reason": "Design review in November", "until": "2026-12-01" }
  ],
  "exclude": [
    { "path": "tools/admin-web", "reason": "Internal web dashboard, not shipped in the app" }
  ]
}

チームパネル（クローズドベータ）。 --upload（または Action の panel-token 入力）と、NATIVEKEEL_TOKEN にチームのトークンを設定すると、各スキャンの概要が nativekeel.com のチームページに送信されます。送信されるのはアプリ名、バージョン、レーティング、指摘のタイトルです。ソースコードや指摘の詳細は送信されません。また、--offline の場合は送信されません。ライブデモ · ベータへの参加申し込み：[email protected]。

多数のアプリを管理していますか？チームに必要な機能をお聞かせください：[email protected]

クライアント向けレポート

代理店は、HTML レポートに独自の名前を表示できます：npx nativekeel plan --html plan.html --brand "Acme Mobile"。

プライベートなコードで実行できる理由

• コードがマシンの外に出ることはありません。 npm と React Native Directory へのリクエストは、パッケージ名の検索のみです。また、実行時依存関係の名前と正確なバージョンを npm のアドバイザリーエンドポイントに送信するリクエストが 1 件あります（npm audit が送信する内容と同じです）。node_modules がない Expo プロジェクトでは、Expo SDK が想定するバージョンを unpkg に問い合わせるリクエストが 1 件あります（送信されるのは expo のバージョンのみです）。--offline を指定するとリクエストは一切行われません。テストでは fetch を捕捉してこれを確認しています。
• 依存関係はゼロで、インストールスクリプトもありません。 Node.js の組み込み機能のみを使用します。
• 読み取り専用です。 プロジェクトに変更を加えることはありません。
• 信頼できないプロジェクトでも安全です。 プロジェクトのコードを実行することはなく、リポジトリ独自の git 設定によってスキャン時にコマンドが実行されることもありません。
• すべての出力でシークレットは常にマスクされます。
• 検証可能なリリースです。 GitHub Actions の npm provenance を使用して公開しています：npm audit signatures。

詳細と脆弱性の報告については、SECURITY.md をご覧ください。誤検知や見落としがありましたか？コードは不要です。お知らせください。

エキスパートによるサポート

このツールは無料で、今後も無料です。チームでアップグレード作業を任せたい場合、メンテナーが一度に数件のプロジェクトをお引き受けします。レポートを [email protected] にお送りください。仕組みはこちら。

ライセンス

MIT