オープンソースとの付き合い方：「無料」の裏にある3つの落とし穴

本書では、ここまで各章にオープンソース（設計図が公開され、誰でも無料で使えるソフト）を紹介してきました。月額ゼロで、データが外に出ず、サービス終了に振り回されない。魅力は本物です。

ただし、飛びつく前に知っておいてほしい落とし穴が3つあります。世間の失敗談から逆算した、実用的な3つです。

落とし穴①：「無料で公開されている」＝「商用利用OK」ではありません。

これが最も多い誤解です。オープンソースにはライセンスという利用条件があり、中身はまちまちです。たとえば本書で紹介したn8nは「フェアコード」という方式で、社内の自動化に使う分には無料ですが、お客様が自分のIDとパスワードを入れて使う形でサービス化する場合には、別途高額な契約が必要になります。Difyも、複数のお客様に貸し出す形での提供と、画面上のロゴを消すことには許諾が要ります。読み上げAIのF5-TTSは、公開されている音声モデルが非商用限定です。画像生成のFLUXも、無料公開されている高性能版の重みは商用利用が制限されています。

対策は簡単です。あなたが作ったものでお金をいただくつもりなら、使う前にライセンスの記載を1回だけ読んでください。「MIT」「Apache 2.0」と書いてあれば、まず自由に使えます。それ以外の名前が出てきたら、そのときだけ調べれば十分です。

落とし穴②：開発が止まっているものを、知らずに選んでしまいます。

オープンソースは、作者がやめれば止まります。そして厄介なことに、止まったソフトほど検索の上位に残り続けます。過去に人気があった分、記事が大量に書かれているからです。

実例を挙げます。ファイル保存の定番だったMinIOは、2026年4月に公開を終了しました。AIコーディングツールとして人気だったRoo Codeは、2026年5月に開発を終了しています。読み上げAIのCoqui（XTTS）は2024年に会社ごと消滅。画像生成のFooocusとStable Diffusion WebUI Forgeも、2025年から2026年初頭で更新が止まっています。それでも、日本語で検索すればどれも上位に出てきます。

対策も簡単です。GitHubのページを開いて、最後の更新がいつかを見てください。「3 months ago」なら現役、「2 years ago」なら要注意です。読み方が分からなければ、AIに「このリポジトリは今もメンテナンスされていますか」と聞けば教えてくれます。

落とし穴③：自分で動かすということは、守りも自分の責任だということです。

これが一番重いです。VercelやSupabaseに月額を払っているとき、あなたは同時に「セキュリティの面倒を見てもらう料金」を払っています。自分のサーバーに移せば、その料金は消えますが、責任は自分に移ります。

Chapter 9で紹介したCoolifyは、2026年1月に11件の重大な脆弱性を公表しました。うち5件は危険度が最高評価で、ログインを回避して乗っ取れる種類のものです。公表時点で、インターネットに晒されたまま動いていたCoolifyが約5万台あったと報告されています。

さらに、2026年に世界最大のオープンソースAIプロジェクトとなったOpenClawについては、日本語のセキュリティ解説記事が「技術に詳しくない方はOpenClawを使わないほうがいい」と明言しています。パソコンの操作権限をまるごと渡すこと、初期設定のままだとインターネットに晒されること、そして配布されている拡張機能の約7%に認証情報が漏れる欠陥が見つかったこと。これが理由です。

対策は3つです。更新を止めないこと。管理画面をインターネット全体に公開しないこと。そして、パソコンの操作権限を渡すツールは、内容を理解できるまで使わないこと。

最後に、私の考えをお伝えします。

オープンソースは「上級者向け」ではありません。実際、本書で紹介したPocketBaseやAivisSpeech、Uptime Kumaは、有料サービスより導入が簡単なくらいです。

ただ、有料サービスに払っているお金の中身が「機能」だけではないということは、知っておいてください。動かし続ける手間、セキュリティの更新、止まったときの責任。それらを引き受けてもらう料金でもあります。

だから、順番はこうです。まず有料サービスの無料枠で作る。動くものができて、月額が気になり始めたら、この本のオープンソースを思い出す。その頃には、あなたは自分で判断できるだけの経験を積んでいるはずです。