MCP サーバーに鍵を安全に渡す設定

調査の詳細

このページの設定は、編集部が 2026 年 10 月 18 日に、Claude Code 2.1.251・Codex 0.162.1・Antigravity の CLI 1.4.1 で、このページのとおりに書いて動かし、MCP サーバーに届いた環境変数の名前を確かめたものです。鍵には、ダミーの文字列を使いました。どの AI エージェントが、どの環境変数を MCP サーバーに渡すかの測定と、MCP の仕様・各社の文書・ソースコードとの照合は、AI エージェントを起動する前に の調査の詳細にあります。

MCP の設定ファイルは、どこにあり、どう書くか

MCP の設定ファイルは、AI エージェントが MCP サーバーを起動するときの、コマンド、コマンドに渡す引数、環境変数を書くファイルです。

claude mcp add の --env と agy mcp add の --env は、渡した鍵の中身を、設定ファイルに文字のまま書き込みます。たとえば、次のコマンドを実行すると、.mcp.json に鍵の中身が書き込まれます（編集部が確かめました）。この書き方は使いません。

# 使わない書き方: 鍵の中身が .mcp.json に文字のまま書き込まれる
claude mcp add example --scope project --env EXAMPLE_API_KEY=鍵の中身 -- node server.js

編集部のパソコンでは、.mcp.json と ~/.gemini/config/mcp_config.json は、同じパソコンのほかの利用者も読める権限（644）、~/.claude.json と ~/.codex/config.toml は、自分だけが読める権限（600）で保存されていました。.mcp.json は、プロジェクトのフォルダに置かれるので、git でほかの人と共有されることもあります。

Claude Code で、MCP サーバーに要る鍵だけを渡す

手順は 4 つです。

1 つ目に、鍵を、macOS のキーチェーン（パスワードを保存する macOS の機能）に保存します。-w を最後に置くと、鍵の中身を入力するよう聞かれるので、そこで入力します。鍵の中身をコマンドに書かないので、コマンドの記録（履歴）に鍵の中身が残りません。

security add-generic-password -a "$USER" -s example-api-key -w

2 つ目に、MCP サーバーを、鍵の環境変数の名前で登録します。

cd ~/work/project   # MCP サーバーを使うプロジェクトのフォルダに移る
claude mcp add-json example '{"type":"stdio","command":"node","args":["server.js"],"env":{"EXAMPLE_API_KEY":"${EXAMPLE_API_KEY}"}}' --scope project

${EXAMPLE_API_KEY} を単引用符（'）の中に書くのは、シェルが先に ${EXAMPLE_API_KEY} を鍵の中身に置き換えないようにするためです。このコマンドで、.mcp.json に次の内容が書き込まれます。鍵の中身は書き込まれません。

{
  "mcpServers": {
    "example": {
      "type": "stdio",
      "command": "node",
      "args": [
        "server.js"
      ],
      "env": {
        "EXAMPLE_API_KEY": "${EXAMPLE_API_KEY}"
      }
    }
  }
}

3 つ目に、作業に要る環境変数だけを渡して、Claude Code を起動します。

env -i HOME="$HOME" USER="$USER" LANG="$LANG" TERM="$TERM" PATH="$PATH" \
  CLAUDE_CODE_MCP_ALLOWLIST_ENV=1 \
  EXAMPLE_API_KEY="$(security find-generic-password -a "$USER" -s example-api-key -w)" \
  claude

• env -i は、環境変数を空にしてから、後ろに並べた環境変数だけを渡して claude を起動します。
• CLAUDE_CODE_MCP_ALLOWLIST_ENV=1 は、Claude Code が自分の環境変数を MCP サーバーに受け継がせず、最低限の環境変数と、MCP の設定ファイルの env だけを MCP サーバーに渡す設定です Claude Code 鍵（API キー）の扱い 原文。
• $(security find-generic-password … -w) は、キーチェーンから鍵の中身を取り出して、EXAMPLE_API_KEY に入れます。鍵の中身は画面に表示されません。
• Claude Code は、.mcp.json の ${EXAMPLE_API_KEY} を、起動したときに渡された EXAMPLE_API_KEY の中身に置き換えて、MCP サーバーに渡します。EXAMPLE_API_KEY を渡さずに起動すると、${EXAMPLE_API_KEY} という文字がそのまま MCP サーバーに渡ります。
• 対話の画面で起動すると、Claude Code は、プロジェクトの設定ファイルの MCP サーバーを使ってよいかを聞きます Claude Code MCP サーバーを追加するときの注意 原文。

4 つ目に、MCP サーバーに届いた環境変数を確かめます。確かめ用の MCP サーバー を同じ設定で登録して起動すると、次の名前が記録されました（2026 年 10 月 18 日、Claude Code 2.1.251）。EXAMPLE_API_KEY は届き、起動するときに一緒に渡したダミーの鍵（OTHER_SERVICE_TOKEN）と LANG は届きませんでした。

CLAUDECODE
CLAUDE_CODE_SESSION_ID
CLAUDE_PROJECT_DIR
EXAMPLE_API_KEY
HOME
PATH
TERM
USER
__CF_USER_TEXT_ENCODING

Codex で、MCP サーバーに要る鍵だけを渡す

1 つ目に、鍵を、Claude Code の手順 の 1 つ目と同じコマンドで、キーチェーンに保存します。

2 つ目に、Codex の設定ファイル（~/.codex/config.toml）に、MCP サーバーを書きます。

[mcp_servers.example]
command = "node"
args = ["server.js"]
env_vars = ["EXAMPLE_API_KEY"]

env_vars は、Codex の環境変数のうち、MCP サーバーに渡してよい環境変数の名前を並べる項目です。

3 つ目に、同じ設定ファイルに、Codex が実行するコマンド（スクリプトなど）に渡す環境変数も書きます。Codex は、初期設定で、Codex が実行するコマンドに環境変数を全部渡し、名前に KEY・SECRET・TOKEN を含む環境変数も取り除きません Codex（OpenAI） 鍵（API キー）の扱い 原文。さらに、Codex は作業の始めに ~/.zshrc を読み込み、そこで export された環境変数も、Codex が実行するコマンドに渡します（測定）。

[shell_environment_policy.filters]
"PATH" = "include"
"HOME" = "include"
"USER" = "include"
"LANG" = "include"
"TERM" = "include"
"EXAMPLE_API_KEY" = "include"

filters に "include" と書いた名前の環境変数だけが、Codex が実行するコマンドに渡ります。

4 つ目に、作業に要る環境変数だけを渡して、Codex を起動します。

env -i HOME="$HOME" USER="$USER" LANG="$LANG" TERM="$TERM" PATH="$PATH" \
  EXAMPLE_API_KEY="$(security find-generic-password -a "$USER" -s example-api-key -w)" \
  codex

確かめ用の MCP サーバーを同じ設定で登録して起動すると、MCP サーバーには次の名前が記録されました（2026 年 10 月 18 日、Codex 0.162.1）。起動するときに一緒に渡したダミーの鍵（OTHER_SERVICE_TOKEN）は届きませんでした。Codex が実行したスクリプトにも、OTHER_SERVICE_TOKEN と、.zshrc に書いたダミーの環境変数（測定では、一時ディレクトリに置いた .zshrc を読ませた）は届きませんでした。

EXAMPLE_API_KEY
HOME
LANG
PATH
TERM
USER
__CF_USER_TEXT_ENCODING

Antigravity の CLI で、MCP サーバーに要る鍵だけを渡す

Antigravity の文書は、MCP の設定ファイルの env を、stdio で動く MCP サーバーのプロセスに渡す環境変数と説明しています。

そこで、MCP サーバーを起動するコマンドの中で、キーチェーンから鍵を読み込みます。鍵は、Claude Code の手順 の 1 つ目と同じコマンドで、キーチェーンに保存しておきます。

agy mcp add example -- /bin/sh -c 'EXAMPLE_API_KEY="$(security find-generic-password -a "$USER" -s example-api-key -w)" exec node server.js'

• /bin/sh -c '…' は、単引用符の中のコマンドを、シェルに実行させます。Antigravity の CLI は、MCP サーバーを起動するたびに、このコマンドを実行します。
• このコマンドは、キーチェーンから鍵の中身を取り出して EXAMPLE_API_KEY に入れ、exec で MCP サーバー（node server.js）を起動します。鍵の中身は、この MCP サーバーの環境変数にだけ入り、設定ファイルには書き込まれません。
• 設定ファイルには、"command": "/bin/sh" と、-c の後ろのコマンドの文字だけが書き込まれました。

Antigravity の CLI は、自分の環境変数を全部 MCP サーバーに渡すので、Antigravity の CLI を起動するときも、作業に要る環境変数だけを渡します。$USER は、キーチェーンの鍵を探すときに使うので、渡す環境変数に入れます。

env -i HOME="$HOME" USER="$USER" LANG="$LANG" TERM="$TERM" PATH="$PATH" agy

確かめ用の MCP サーバーを同じ書き方で登録して起動すると、MCP サーバーには次の名前が記録されました（2026 年 10 月 18 日、Antigravity の CLI 1.4.1）。EXAMPLE_API_KEY は、キーチェーンから読み込まれて届きました。この回は、Antigravity の CLI を起動するときにダミーの鍵（OTHER_SERVICE_TOKEN）も渡したので、OTHER_SERVICE_TOKEN も MCP サーバーに届きました。Antigravity の CLI に渡した環境変数は、MCP サーバーにも届くということです。

EXAMPLE_API_KEY
HOME
LANG
OTHER_SERVICE_TOKEN
PATH
PWD
SHLVL
TERM
USER
__CF_USER_TEXT_ENCODING

遠隔の MCP サーバーに鍵を渡す

遠隔の MCP サーバーは、AI エージェントが起動するのではなく、インターネットの向こうで動いている MCP サーバーです。AI エージェントは、鍵を HTTP のヘッダー（Authorization）に入れて、遠隔の MCP サーバーに送ります。

Claude Code では、ヘッダーにも ${…} で環境変数の名前を書けます。

claude mcp add-json remote-example '{"type":"http","url":"https://example.com/mcp","headers":{"Authorization":"Bearer ${EXAMPLE_API_KEY}"}}' --scope project

Codex では、bearer_token_env_var に、鍵が入っている環境変数の名前を書きます。

[mcp_servers.remote-example]
url = "https://example.com/mcp"
bearer_token_env_var = "EXAMPLE_API_KEY"

編集部は、手元のパソコンで動かした遠隔の MCP サーバー（127.0.0.1）を使って、Claude Code と Codex が、EXAMPLE_API_KEY の中身を Authorization ヘッダーに入れて送ったことを確かめました。そのとき、遠隔の MCP サーバーは、ヘッダーが期待どおりかどうかだけを記録し、鍵の中身は記録していません。

Antigravity の文書の設定ファイルの例は、遠隔の MCP サーバーの headers に、鍵の中身を直接書いています。

確かめ用の MCP サーバー

次のプログラムは、起動したときに受け取った環境変数の名前だけを、同じフォルダの mcp-env-names.txt に書く MCP サーバーです。環境変数の中身は書きません。ツールは持たないので、AI エージェントから使われることはありません。

// 確かめ用の MCP サーバー: 起動したときに受け取った環境変数の「名前」だけを、ファイルに書く（中身は書かない）
import { writeFileSync } from 'node:fs';
import { createInterface } from 'node:readline';

const names = Object.keys(process.env).sort();
writeFileSync(new URL('./mcp-env-names.txt', import.meta.url), names.join('\n') + '\n');

const send = (message) => process.stdout.write(JSON.stringify(message) + '\n');
createInterface({ input: process.stdin }).on('line', (line) => {
  const m = JSON.parse(line);
  if (m.id === undefined) return;   // 通知には返事をしない
  if (m.method === 'initialize') {
    send({ jsonrpc: '2.0', id: m.id, result: { protocolVersion: m.params.protocolVersion, capabilities: { tools: {} }, serverInfo: { name: 'env-names', version: '1.0.0' } } });
  } else if (m.method === 'tools/list') {
    send({ jsonrpc: '2.0', id: m.id, result: { tools: [] } });
  } else {
    send({ jsonrpc: '2.0', id: m.id, error: { code: -32601, message: 'not supported' } });
  }
});

使い方は 3 つの手順です。

1 つ目に、このプログラムを mcp-env-names.mjs という名前で、プロジェクトのフォルダに保存します。

2 つ目に、確かめたい MCP サーバーと同じ環境変数の設定で、このプログラムを登録します。Claude Code では次のコマンドです。Codex では、設定ファイルに、command を "node"、args を mcp-env-names.mjs の場所（/ から始まる形）にした項目を足します。Antigravity の CLI では、node server.js を node "$PWD/mcp-env-names.mjs" に変えて登録します。

claude mcp add-json env-names '{"type":"stdio","command":"node","args":["mcp-env-names.mjs"],"env":{"EXAMPLE_API_KEY":"${EXAMPLE_API_KEY}"}}' --scope project

3 つ目に、いつもと同じように AI エージェントを起動して、記録された名前を見ます。確かめ終わったら、登録から外します。

cat mcp-env-names.txt
claude mcp remove env-names --scope project

Antigravity の CLI では、agy mcp remove env-names で登録から外します。