Firebase：ID、アクセス権、保存、通知を分けて考える

FirebaseにはSDK、アクセス制御、料金条件が異なるサービスがあります。利用者の識別は全データへの許可ではありません。安全性と費用をサービスごとに評価します。

認証と認可

Firebase Authenticationはログインを管理し、アクセス権は別途定めます。Cloud Firestoreのウェブ・モバイルクライアントはSecurity Rulesを使用します。サーバーライブラリはこれを迂回しIAMを使用するため、一つの制御で両方を覆えると考えないでください。文書化されたウェブMFAにはFirebase Authentication with Identity Platformが必要です。

データとファイル

Cloud FirestoreとRealtime Databaseは別のデータベースサービスで、Cloud Storageはファイルなどのオブジェクトを保存します。共通の単一ルールで保護されるわけではありません。現在のFAQでは既存バケットを含むCloud Storage for Firebaseの利用にBlazeが必要ですが、無料利用枠が残る場合があります。無料と紹介する前に割当量と課金を確認します。

FCM通知

FCM HTTP v1は短期間のOAuth 2.0アクセストークンなどによるサーバー認可を使います。管理用認証情報をクライアントに埋め込まず、信頼できる環境から送信します。端末登録トークンは送信先の識別子であり、ユーザーIDトークンや業務権限ではありません。

セッションと運用

IDトークン、リフレッシュトークン、失効を区別します。暗号学的に有効でも権限の継続は証明できません。必要なログ、保存期間、費用通知、リソース単位の制御を定めます。Firebaseが自動的にGDPR適合を実現するわけではありません。

出典

• Firebase · Firestore Security Rules
• Firebase · Web multi-factor authentication
• Firebase · Cloud Storage billing requirements
• Firebase · FCM HTTP v1
• Firebase · Manage User Sessions

編集確認日：2026年11月1日。

{
    "page_1_ids": [
        "A",
        "B"
    ],
    "page_2_ids": [
        "B",
        "C"
    ],
    "next_cursor": "c2",
    "empty_page_has_next_cursor": true
}

{
    "old_origin": "https://login.old.example",
    "old_rp_id": "old.example",
    "new_origin": "https://login.new.example",
    "new_rp_id": "new.example",
    "same_service_account": true,
    "expected": "authenticated_new_registration"
}