npmは中国本土で使えるか：データの国内保存、ICP、越境ルール
貴社のプライベートなスコープ付きnpmパッケージは、認証情報やトークンをしばしば埋め込んだ独自のソースコードであり、npmのホスト型レジストリ上ではオフショアに置かれます——到達性ではなく、データの国内保存とPIPLの越境の問いです。プライベートなnpmレジストリを中国国内で自己ホストすれば、それらのプライベートパッケージと秘密情報は国内に留まります。
npmは中国本土で使えるか
npmが中国で「使えるか」は誤った問いです——貴社のプライベートなスコープ付きnpmパッケージは独自のソースコードであり、npmのホスト型レジストリ上ではオフショアにあります。ビルドが上海からパッケージを解決できるかではなく、それこそが、構成が弁明可能かを決めます。
npm自身の言葉では、“With npm private packages, you can use the npm registry to host code that is only visible to you and chosen collaborators.”（npmのプライベートパッケージを使えば、自分と、選んだ協力者だけに見えるコードをnpmレジストリにホストできる）。npmレジストリはnpmのホスト型サービスで、オフショアで動きます——ですからプライベートパッケージと、それが日常的に埋め込む認証情報・トークン・構成は中国本土の外にあり、中国ビルドの依存関係サプライチェーンは国境を越えて解決されます。国外に保持される、それらのパッケージ内のあらゆる個人データや秘密情報はPIPLが規律する越境移転であり、CIIOや大量取扱者にはデータ国内保存（英語）の義務（第39条（旧第37条））が逆向きを指します。自己ホスト型のプライベートレジストリ——Verdaccio、または自社インフラ上のNexus／Artifactory——は、それらのプライベートパッケージと秘密情報を中国国内に留めます。
これは判定ではなくリスクの構図です——義務は、プライベートパッケージが何を運び、貢献者が誰かによって変わります。当社の中国チームがnpmの国内保存とサプライチェーンのリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! プライベート／スコープ付きのnpmパッケージは、npmのオフショアのレジストリにホストされる独自コード
- ! プライベートパッケージは認証情報・トークン・構成の秘密をしばしば埋め込み、それらも国外に置かれる
- ! すると中国ビルドの依存関係サプライチェーンは、国境を越えて中国本土へと解決される
- ! オフショアでは、それはPIPLの越境移転であり、データの国内保存のリスク
- ! 到達性チェックは、プライベートパッケージと秘密情報が実際にどこにあるかを決して見ない
- ✓ レバー：プライベートレジストリを中国国内で自己ホストし、パッケージと秘密情報を国内に留める
npmの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| npm自身の言葉で：“With npm private packages, you can use the npm registry to host code that is only visible to you and chosen collaborators.”（npmのプライベートパッケージを使えば、自分と、選んだ協力者だけに見えるコードをnpmレジストリにホストできる）。それらのプライベートなスコープ付きパッケージは、貴社の独自のソースコード——企業秘密——であり、ビルド用の認証情報、APIトークン、構成を日常的に埋め込む。npmのホスト型レジストリ上ではそれらはオフショアにある。npmは中国本土のリージョンを公表していない（最新はnpmに確認を）。ビルドがそれらを解決することは、そのコードが国内にあることとは同じではない。 | npm Docs — About private packages（2026-10-13 取得） |
| 本物の中国国内の経路が存在する：自社インフラで動かす自己ホスト型のプライベートnpmレジストリだ。Verdaccioは自らを“a private npm registry”（プライベートなnpmレジストリ）と文書化し、“all packages that you publish are private and only accessible based in your configuration”（公開するすべてのパッケージはプライベートで、構成に基づいてのみアクセス可能）とする。Sonatype NexusとJFrog Artifactoryも同じ自己管理モデルを提供する。それを中国本土内で動かせば、プライベートパッケージ、ビルド成果物、埋め込まれた秘密情報が国内に留まり、中国ビルドのサプライチェーンも国内に保たれる。 | Verdaccio Docs — What is Verdaccio?（2026-10-13 取得） |
| 重要情報インフラ運営者（CIIO）または大量取扱者には、中国で収集・生成した個人情報と重要データを、国外へ出す前の安全評価とともに中国本土内に保存する義務がある——サイバーセキュリティ法のデータ国内保存のルール、2026-01-01施行の2025年改正によって再番号付けされた第39条（旧第37条）だ。オフショアのレジストリに保持されるプライベートパッケージとビルド成果物には、それを満たす中国本土の足場がない。 | 中華人民共和国サイバーセキュリティ法 第39条（旧第37条）；2025年改正、2026-01-01施行 |
| 貢献者のアイデンティティ、アクセスログ、埋め込まれた秘密情報、そしてプライベートパッケージやビルドメタデータ内のあらゆる個人データを、オフショアのレジストリに保持することは、PIPLの越境移転（第38〜40条）だ：取扱者は、通知し、個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければならない。 | 中華人民共和国個人情報保護法 第38〜40条；CAC越境規則（2024年3月） |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土での運用にとって、npmをめぐる決め手の問いは、上海でのビルドが公開パッケージを解決できるかどうかではありません——貴社のプライベートパッケージがどこにあり、何を運び、どんな法的根拠でそこに置かれたか、です。オープンソースの依存関係を取り込むことは到達性の話題であって、貴社の構成が弁明可能かを決めるものではありません。貴社のプライベートなスコープ付きnpmパッケージは別です——それは独自のソースコード——企業秘密——であり、ビルド用の認証情報、APIトークン、構成を日常的に埋め込み、ときおり個人データのフィクスチャも一緒に乗ります。npmのホスト型レジストリに公開されると、その凝縮された知的財産はオフショアに置かれ、中国ビルドの依存関係サプライチェーン——どんなコードが、どんな出所と完全性で、中国のデプロイに入るか——は国境を越えて解決されます。これを決めるのは、読み込み時間ではなく、データの国内保存と越境移転です。
npmは中国で使えるか：ひと目で
| 決め手 | 中国本土にとって何を意味するか |
|---|---|
| プライベートパッケージが保持するもの | 貴社のプライベートなスコープ付きパッケージは独自のソースコード——企業秘密——であり、ビルド用の認証情報、APIトークン、構成を日常的に埋め込み、加えてパイプライン内のあらゆる貢献者メタデータとフィクスチャデータを含みます。 |
| レジストリはどこで動くか | npmに公開されると、プライベートパッケージはnpmのホスト型レジストリ（npmjs.com）上にあり、それはオフショアのインフラで動きます。npmは中国本土のリージョンを公表していません（最新はnpmにご確認ください）。 |
| データの国内保存 | CIIOや大量取扱者には、中国で収集した個人情報と重要データを中国本土内に保存する義務があります（サイバーセキュリティ法第39条（旧第37条））——オフショアのレジストリには満たせない義務です。 |
| 越境移転 | 貢献者のアイデンティティ、アクセスログ、そしてプライベートパッケージやビルドメタデータ内のあらゆる個人データを、オフショアに保持することは、PIPLの越境移転（第38〜40条）です——通知、個別の同意、そして移転メカニズムのいずれか一つ。 |
| ビルドのサプライチェーン | オフショアのレジストリから解決する中国ビルドは、依存関係のサプライチェーンを国境を越えて動かします。レジストリのミラーやキャッシュは解決を速めます——しかし、プライベートパッケージや秘密情報を中国国内へ移すわけではありません。 |
| 国内保存のレバー | 自己ホスト型のプライベートレジストリ（Verdaccio、または自社インフラ上のNexus／Artifactory）を中国本土内で動かせば、プライベートパッケージ、ビルド成果物、埋め込まれた秘密情報が国内に留まります。 |
第一の扉——プライベートパッケージは独自のコードであり、データの国内保存はそれがホストされる場所に従う
レジストリが何を保持するかから始めましょう。それこそが中国の法が応答する対象だからです。公開のnpmレジストリはコミュニティの依存関係を取り込みますが、それはこれを決める部分ではありません。貴社のプライベートなスコープ付きパッケージは、世界に公開しないコードの正本の保管庫です——独自のライブラリ、内部SDK、ビルドツール——知的財産の凝縮された一片——であり、埋め込まれた認証情報、APIトークン、レジストリ認証、構成を日常的に抱え、ときにはテストフィクスチャ内の個人データも含みます。npm自身の言葉では、“With npm private packages, you can use the npm registry to host code that is only visible to you and chosen collaborators.”（npmのプライベートパッケージを使えば、自分と、選んだ協力者だけに見えるコードをnpmレジストリにホストできる）。
そのホスティングこそが要点です。npmレジストリはnpmのホスト型サービスで、オフショアのインフラ上で動いており、npmは中国本土のリージョンを公表していません（想定ではなく、npmに直接確認すべき点です）。貴社が重要情報インフラ運営者（CIIO）であるか、大量の個人情報を取り扱う場合、中国で収集・生成した個人情報と重要データは、国外へ出す前の安全評価とともに、中国本土内に保存しなければなりません——サイバーセキュリティ法（英語）のデータ国内保存のルール、2026-01-01施行の2025年改正によって再番号付けされた第39条（旧第37条）です。独自のパッケージと埋め込まれた秘密情報を保持するオフショアのレジストリには、それを満たす中国本土の足場がありません。
第二の扉——貢献者のアイデンティティ、秘密情報、サプライチェーンの出所
第二の扉は、PIPLと、中国ビルドに入るものの完全性です。プライベートパッケージとそれを取り巻くパイプラインは、コード以上のものを運びます——リリースを公開・ビルド・昇格した人のユーザー名とメールアドレス、アクセスログ、そしてパッケージの内容やビルドメタデータに入り込むあらゆる個人データです。個人情報保護法（PIPL）の下では、そのデータを中国本土の外のインフラに保持することは越境移転（第38〜40条）です——取扱者は、通知し、移転について個別の同意を取得し、メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——をクリアしなければなりません。そもそもパッケージの内容に入る秘密情報と個人データを最小化することは対策の一部ですが、それ自体で保管庫を移すわけではありません。そして中国ビルドは、レジストリが動いている場所から依存関係を解決するため、中国のデプロイに入るコードの出所と完全性もまた国境を越えて規律されます——接続性チェックでは決して表面化しないソフトウェアサプライチェーンのリスクです。
なぜ到達性チェックはこれを見落とすのか
「上海からビルドがパッケージを解決できるか」というテストは、誤った問いに答えるものです。レジストリのミラーやキャッシュ、あるいは接続性のチューニングは、依存関係がどれだけ速く・どれだけ確実に解決されるかを変えます——しかし、プライベートパッケージ、そこに埋め込まれた秘密情報、ビルドの出所が実際にどこにあるかは変えません。ですから、ある構成は中国の内側から見ると完璧に健全に見えながら、あらゆるプライベートパッケージ、そこに焼き込まれたあらゆるトークン、あらゆる貢献者の記録が依然としてオフショアにある、ということがあり得ます。上記の国内保存と越境の問いが到達性プローブに見えないのは、まさにパッケージが解決され続けるからです——だからこそ重要な一手は、オフショアの保管庫を単に到達可能にしたりミラーしたりすることではなく、プライベートの保管庫を中国国内へ移すことなのです。当社は中国国内からのnpm接続性の一次測定を公表していないため、ここには数値を置きません。それは主張するのではなく、貴社の実際の構成に対して計測するものです。
これは判定ではなくリスクの見取り図です。中国国内での保存、移転メカニズム、同意フローの作り直し、公開される開発者ポータルのためのICP備案、あるいはそれらの組み合わせのどれが必要かは、プライベートパッケージが何を、どれだけ運び、貢献者が誰かによって変わります——構築の前に専門家と整理する価値があります。
レバー——マップし、国内化し、配信する
npmには本物の自己ホスト型プライベートレジストリが存在するため、現実の中国国内の経路があり、21YunBoxは、いかなる不正な手段も用いず、またお勧めすることもありません。
- マップ——どのパッケージがプライベート（貴社の独自コード）か、認証情報・トークン・構成を埋め込んでいるか、そのプライベートレジストリが今どこにホストされているか、国内保存の根拠、そして中国ビルドの依存関係サプライチェーンがどう国境を越えるかを棚卸しします。
- 国内化／ガバナンス——プライベートレジストリと成果物ストアを中国国内で動かし（自己ホスト——Verdaccio、または自社インフラ上のNexus／Artifactory）、独自コードと埋め込まれた秘密情報を国内に留め、中国ビルドのサプライチェーンを国内に保ち、国境を越えるものを最小化します。
- 配信——法令に適合した中国国内のプライベートレジストリと成果物配信を、オフショアのサービスの前段に（あるいはその代わりに）置きます。21YunBoxは、作り直しなしで中国国内のレイヤーを立ち上げます。
公開レジストリを単に到達可能にしたりミラーしたりすることは答えではありません——プライベートパッケージと秘密情報は依然としてオフショアにあり、それらをより速く解決しても、それは変わりません。答えは、プライベートレジストリと成果物を中国国内に保つことです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
npmはそのまま使い続けます。オフショアのレジストリが単独では提供できない要素を当社が加えます——自己ホスト型プライベートレジストリのための、適法な中国国内の置き場所です。これにより、独自のパッケージ、ビルド成果物、埋め込まれた秘密情報が、法が求める場所に国内で留まり、その前段には開発者アクセスと公開ポータルのための法令適合のICP備案済み配信を置きます——既存の構成の周りに配置し、作り直しも、二つ目のコードベースも、npmからの移行もありません。すでにお使いのツールチェーンのパートナーとして、当社の中国チームが、貴社の法人とパイプラインに照らしてPIPLの越境・同意・データの国内保存の義務を整理し、そのうえで弁明可能な中国での拠点に必要な中国国内のレジストリと配信を立ち上げます。当社は、いかなる不正な手段も用いず、またお勧めすることもありません。
関連する読み物：
よくあるご質問
中国でnpmを使えますか？
公開パッケージの取り込みは到達性の問いであり、本当の問いではありません。決め手となる論点は、貴社のプライベートなスコープ付きパッケージ——しばしば認証情報を埋め込んだ独自コード——であり、npmのホスト型レジストリ上ではオフショアにあること、そして中国ビルドの依存関係サプライチェーンが国境を越えて解決されることです。どちらも、プライベートレジストリを自己ホストすることで中国国内に保てます。パッケージの到達性ではなく、それこそが構成を弁明可能にします。
npmはプライベートパッケージを中国本土にホストしますか？
npmはホスト型レジストリについて中国本土のリージョンを公表していません（最新はnpmにご確認ください）。ですからnpmに公開されたプライベートパッケージはnpmのオフショアのインフラ上にあります。中国国内の代替は、自己ホスト型のプライベートレジストリ——Verdaccio、またはNexus／Artifactory——を中国本土内の自社インフラで動かすことで、プライベートパッケージ、ビルド成果物、埋め込まれた秘密情報を国内に留めます。
21YunBoxはnpmの構成を中国で法令適合にする手助けができますか？
はい。当社の中国チームが、プライベートパッケージとビルド成果物がどこにあるか、どんな秘密情報と個人データを運ぶか、そして中国ビルドのサプライチェーンがどう国境を越えるかを整理し、そのうえで法令に適合した中国国内のプライベートレジストリと配信を、既存の構成の前段に立ち上げます——作り直しも、npmからの移行もありません。個別のスタックはお問い合わせから一緒に詰めましょう。
