OpenTimestampsの代替手段：マネージドGitタイムスタンプ

あなたはすでに前提を受け入れています。GitコミットをBitcoinにアンカーし、リポジトリの特定の状態が特定の日に確実に存在していたことを証明したい、ということです。その点は議論の余地がありません。

本当の購買判断は、誰がパイプラインを運用するのかです。

OpenTimestampsプロトコルは、これらのシステムのほとんどが基盤としている標準であり、 genuinely 優れています — オープンで、ベンダー中立で、Bitcoin自体に対して検証可能です。しかしプロトコルはツールキットであり、製品ではありません。「プロトコルが存在する」から「毎晩コミットがスタンプされ、コンプライアンス責任者がPDF証明書をダウンロードできる」までの間には、多くの作業が必要です。この記事では、2026年におけるGitタイムスタンプの現実的な選択肢を比較し、その作業をどこに置くべきか — あなたのチームの負担にするのか、一度インストールするGitHub Appの背後に隠すのか — を判断できるようにします。

購買判断：なぜ生のOpenTimestampsを超えて検討するのか？

OpenTimestampsは難しい暗号学的問題を解決します。ハッシュをBitcoinブロックチェーンにアンカーされた存在証明に変換し、公開カレンダーサーバーを使用することでタイムスタンプごとにトランザクション手数料を支払う必要がありません。

しかし解決しないものもあります：

• コミット検出。 プロトコルはGitが何であるかを知りません。どのコミットをスタンプするかを誰かが決める必要があります。
• バッチ処理の経済性。 コミットごとに1つの証明をスタンプするのは無駄です。実際のセットアップでは、ハッシュを毎日Merkleツリーにバッチ処理し、ルートのみをアンカーします。
• 鍵と証明の保管。 .otsレシートは小さいですが、耐久性のある場所、3年後に弁護士が見つけられる場所に保管する必要があります。
• 検証UX。 「ファイルをダウンロードしてBitcoinに対して確認する」は、ほとんどのコンプライアンスチームが採用するワークフローではありません。
• 継続的な運用。 カレンダーサーバーの癖、アップグレードパス、そして夜間ジョブが静かに証明の生成を停止したときに誰がオンコールになるのかという問題。

これがDIYの隠れたコストです。暗号学ではなく、その周りの配管です。選択肢は、プロトコルを運用し続けるか、それをエンドツーエンドで自動化するサービスを採用するかです。Timestamp GITはこの比較におけるマネージドオプションです — プロトコルをGitHub Appと夜間ジョブの背後に隠し、開発者がタイムスタンプコマンドに触れることはありません。

比較の前に一言の正直さ：はい、オープンプロトコルとcronジョブでこれをすべて手作業で達成することは可能です。この記事はその道を代替手段と比較するものであり、構築方法を説明するものではありません。

ランドスケープ：Gitタイムスタンプにはどのような選択肢があるのか？

遭遇するソリューションの形は4つあります。

1. 生のOpenTimestampsアプローチ。 クライアントツールをインストールし、独自のコミット収集をスクリプト化し、カレンダーとのやり取りを管理し、証明を自分で保管し、Bitcoinに対して手動で検証します。最大の制御、最大の表面積。Gitネイティブではなく、ダッシュボード、バッジ、監査レポートも付属しません。

2. APIを備えたブロックチェーンタイムスタンププラットフォーム。 ハッシュを受け取りレシートを返すHTTPエンドポイントを提供します。生のツールよりは優れていますが、汎用的です — 何でもタイムスタンプするため、Git統合はあなたの問題です。コミット監視ロジック、バッチ処理、ストレージ層を自分で構築する必要があります。

3. マネージドGitタイムスタンプサービス。 これがTimestamp GITが占めるカテゴリです。GitHub Appをインストールし、リポジトリを選択すると、すべてのコミットが自動的に収集されます。毎晩ワーカーがその日のコミットハッシュをバッチ処理し、Merkleツリーを構築し、ルートを公開OpenTimestampsカレンダーを通じてBitcoinにアンカーします。証明はあなた自身のリポジトリに戻ります。

4. セルフホスト型、ライセンスされたデプロイメント。 マネージドの利便性は、他人のサーバーを意味する必要はありません。Timestamp GITは自分で実行できるDockerイメージとして提供されています — エアギャップ環境や厳格なセキュリティポリシーに関連するオプションです。

選択基準：開発者とコンプライアンスチームが評価すべきこと

選択肢を比較するとき、基盤となるプロトコルよりも、その上の運用モデルが重要です。6つの基準が決定の大部分を占めます：

• セットアップの労力。 ワンクリックのGitHub Appインストール vs ツールのインストール、スクリプトの作成、スケジューラの配線。
• 自動化レベル。 システムが新しいコミットを自分で気づくのか、人間が覚えておく必要があるのか。
• セキュリティとプライバシー。 サービスはソースコードを読まずに仕事を遂行できるか？コードがインフラから出ないモードはあるか？
• 統合サーフェス。 Gitホスティング統合、READMEバッジ、RESTエンドポイント、CSV監査台帳、PDF証明書。
• コストモデル。 公開リポジトリの無料枠、プライベート用の透明な階層別価格、主権が必要な場合のセルフホストライセンス。
• 検証可能性とロックイン。 第三者がベンダーを関与させずに標準ツールとBitcoinブロックデータを使って証明を検証できるか？

最後の基準は、チームが過小評価するものです。独立して検証できないタイムスタンプは、優れたマーケティングが施されたデータベース行にすぎません。

比較表：生プロトコル vs マネージドサービス

中央の列のパターンに注目してください。APIは暗号学の作業を排除しますが、Gitの作業は残します。ここでDIYプロジェクトが停滞することがよくあります — アンカーリングが難しいからではなく、コミット収集、バッチ処理、配信が退屈で永久に後回しにされるからです。

結論：誰がどのオプションを選ぶべきか？

ソロ開発者とオープンソースメンテナー。 配管を楽しみ、リポジトリが公開されているなら、生プロトコルは擁護できます。しかしTimestamp GITの無料枠は公開リポジトリをカバーしているので、正直な問いは、あなたの時間を証明パイプラインの維持よりもプロジェクトに費やす方が良いかどうかです。少なくとも、「来月ちゃんと自動化しよう」という失敗モードを排除します。

スタートアップとエージェンシー。 マネージドルートを取りましょう。先行技術の議論は、あなたがそれらのコミットをスタンプできたことではなく、紛争前の数ヶ月間に一貫して行ったことを気にします。一貫性は製品機能であり、夜間自動化は善意よりもはるかに良くそれを提供します。支払い紛争中の納品日を証明する場合は、Protecting Agency Code Deliverables With Blockchain Proofをご覧ください。

厳格なセキュリティポリシーを持つエンタープライズ。 標準モードとエンタープライズZKパス、またはDockerセルフホストライセンスは、プロトコルを自分で再構築することなく必要な制御を提供します。エンタープライズZKモードは、ソースリポジトリがサービスから読み取られてはならない場合に選ぶべきものです — GitHub Actionがあなたのインフラからコミットハッシュをプッシュします。懸念がリポジトリの権限ではなく特許の露出である場合は、Git Commit Timestamp Proof for Patent Disputesがそのシナリオをカバーしています。

短く言えば：Timestamp GITはプロトコルを実行する代替手段にすぎません — それはあなたが運用する必要のないバージョンのプロトコルです。

Timestamp GITがマネージド代替手段としてどのように機能するか

これが開発者向けワークフロー全体です。

1. GitHub Appを一度インストール。 開発者マシンにインストールするものはありません。アプリは監視対象リポジトリのHEADコミットハッシュのみを読み取ります。ソースコードは読まれず、コピーされず、保存されません。標準モードでは、アプリはソースリポジトリへの少なくとも読み取り専用アクセス（GitHubのモデルには「ハッシュのみ」の権限はありません）と、証明が書き込まれるターゲットリポジトリへの読み書きアクセスを必要とします。

2. コミットは自動的に収集されます。 GitHub AppがWebhook経由で新しいコミットを検出するか、エンタープライズZKモードでは12行のGitHub ActionがコミットハッシュのみをTimestamp GIT APIにプッシュします。ZKモードでは、ソースリポジトリへの読み取りアクセスは不要ですが、Actionをインストールします。保留中のハッシュはインメモリのキーバリューストアに置かれ、バッチを待ちます。

3. 深夜のcronワーカーがバッチをアンカーします。 毎晩、ワーカーは保留中のすべてのハッシュをグループ化し、リポジトリごとにマニフェスト.txtファイルを構築し、Merkleツリーを構築し、公開OTSカレンダーを使用してOpenTimestamps証明を作成し、MerkleルートをBitcoinブロックチェーンにアンカーします。Bitcoinの確認には通常約3時間かかるため、証明はバッチ実行の数時間後に現れます。

4. 証明はあなたのリポジトリに配信されます。 マニフェストと.otsレシートファイルは、専用のtimestampsブランチまたはシャドウリポジトリにプッシュされます。その時点からタイムスタンプは不変です — Timestamp GITを含むいかなる主体も、それを変更または偽造することはできません。

5. 検証と公開。 埋め込み可能なREADMEバッジが検証ステータスを表示し、公開検証ページにリンクします。リポジトリステータスダッシュボードは、証明の寿命、最も早いアンカー日、日次の規則性、Bitcoinブロックとトランザクションデータ、カレンダーヒートマップ、ダウンロード可能なCSV監査台帳とPDF証明書を公開します。検証自体はブラウザでMerkleチェーンに対してローカルに実行されます — 私たち側での計算はなく、あなたが何を検証するかを誰も見ません。メカニズムの詳細を知りたい場合は、How to Verify a Git Repository’s Bitcoin Timestampをお読みください。

ダッシュボード以外の自動化のために、公開エンドポイントがあります：

curl https://timestampgit.dev/api/statusSummary/your-org/your-repo
curl https://timestampgit.dev/api/statusLast/your-org/your-repo
curl -O https://timestampgit.dev/api/audit/your-org/your-repo

プライベートリポジトリは、サーバーインスタンス固有の暗号化されたHMACをURLに追加するため、認証されたユーザーのみがステータスを読み取ることができます。

セルフホストオプション

最大のセキュリティとエアギャップ環境のために、Timestamp GITはDockerイメージとして利用可能です。クイックスタートのDocker Composeセットアップは次のようになります：

services:
  timestampgit:
    image: rue1401/timestampgit:prod
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped
  valkey:
    image: valkey/valkey:8
    restart: unless-stopped

docker compose pull
docker compose up -d
docker compose logs -f timestampgit

アプリケーションはhttp://localhost:8080で利用可能です。初回起動時にセットアップウィザードがGitHub Appの接続とインスタンスの設定を案内します。期間限定のデモライセンスは、Docker Licenseページのリクエストフォームに名前、会社、メール、任意の電話番号を記入して送信することで入手できます。その後、ライセンスファイルをダウンロードできます。

FAQ

OpenTimestampsコマンドを実行する必要はありますか？

いいえ。Timestamp GITはマネージドサービスです。GitHub Appをインストールすると、コミットを自動的に検出し、毎晩Bitcoinにアンカーします。CLIツールを実行したり、プロトコルを自分で管理する必要はありません。

Timestamp GITなしで証明を検証できますか？

はい。.otsレシートファイルとMerkle証明はオープン標準に基づいています。標準のOpenTimestamps検証ツールを使用してBitcoinブロックチェーンに対して独立して検証するか、すべての計算をクライアント側で実行するTimestamp GITのローカルブラウザベース検証を使用できます。

Timestamp GITが倒産したらどうなりますか？

あなたの証明はBitcoinブロックチェーンにアンカーされており、ベンダー独立です。.otsファイルとMerkle証明はオープンソースツールを使用してオフラインで検証できます。Timestamp GITはあなたをロックインしません。暗号学的証明はSHA-256とBitcoinブロックデータのみに依存しています。

ソースコードが露出することはありますか？

いいえ。Timestamp GITはゼロ知識原則で動作します。標準モードでは、GitHub Appはコミットハッシュのみを読み取り、ソースコードは読み取りません。エンタープライズZKモードでは、GitHub Actionがあなたのインフラからコミットハッシュのみをプッシュするため、ソースがあなたの環境から出ることはありません。

結論

この比較のすべてのオプションは同じ場所で終わります：Bitcoinブロック内のSHA-256ハッシュです。異なるのは、そこに到達するためにどれだけのエンジニアリング、運用規律、組織の記憶を提供しなければならないか — そしてその結果がコンプライアンスチームが実際に弁護士に手渡せるものであるかどうかです。

タイムスタンプパイプラインのメンテナーになることなく暗号学的保証を得たいなら、GitHub Appを一度インストールし、夜間ワーカーに残りを任せてください。公開リポジトリで無料枠から始めて証明が届くのを確認し、準備ができたらプライベートリポジトリをPro Agencyに移行してください。あなたのコミットにはすでにハッシュがあります。証人もいてよいでしょう。

関連記事

• Protecting Agency Code Deliverables With Blockchain Proof
• Git Commit Timestamp Proof for Patent Disputes
• How to Verify a Git Repository’s Bitcoin Timestamp