From 87f0f0f51e9593dc8251ac332fa9950b5cc93b68 Mon Sep 17 00:00:00 2001
From: Wada Yusuke <yusuketenpa12345@gmail.com>
Date: Sat, 16 May 2026 18:08:58 +0900
Subject: [PATCH 1/3] =?UTF-8?q?SKILLs=20DRY=E5=AF=BE=E7=AD=96=E3=81=AE?=
 =?UTF-8?q?=E6=A4=9C=E7=9F=A5=E3=82=B9=E3=82=AD=E3=83=AB=E3=82=92=E4=BD=9C?=
 =?UTF-8?q?=E6=88=90?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 .claude/CLAUDE.md                             |   2 +
 .claude/rules/backend/python.md               |   1 +
 .claude/rules/common/duplication.md           | 106 +++++++++
 .claude/rules/frontend/typescript.md          |   1 +
 .claude/rules/infra/opentofu.md               |   5 +
 .claude/skills/BE_apply/SKILL.md              | 194 +++++++++++++++++
 .../SKILL.md                                  |  60 +++++-
 .claude/skills/FE_apply/SKILL.md              | 204 ++++++++++++++++++
 .../SKILL.md                                  |  61 +++++-
 .claude/skills/INFRA_apply/SKILL.md           | 192 +++++++++++++++++
 .claude/skills/INFRA_refacter/SKILL.md        | 182 ++++++++++++++++
 .claude/skills/XR_apply/SKILL.md              | 182 ++++++++++++++++
 .claude/skills/XR_refacter/SKILL.md           | 164 ++++++++++++++
 .githooks/pre-push                            |  16 ++
 .github/workflows/ci.yml                      |  44 ++++
 .gitignore                                    |   3 +
 .jscpd.json                                   |  54 +++++
 Makefile                                      |  22 ++
 .../services/tasks/test_handlers_failure.py   |  26 ++-
 frontend/src/hooks/useAuthSession.ts          |  28 ++-
 frontend/src/hooks/useBlogAccountManager.ts   |  26 ++-
 21 files changed, 1554 insertions(+), 19 deletions(-)
 create mode 100644 .claude/rules/common/duplication.md
 create mode 100644 .claude/skills/BE_apply/SKILL.md
 rename .claude/skills/{backend_refacter => BE_refacter}/SKILL.md (63%)
 create mode 100644 .claude/skills/FE_apply/SKILL.md
 rename .claude/skills/{frontend_refacter => FE_refacter}/SKILL.md (58%)
 create mode 100644 .claude/skills/INFRA_apply/SKILL.md
 create mode 100644 .claude/skills/INFRA_refacter/SKILL.md
 create mode 100644 .claude/skills/XR_apply/SKILL.md
 create mode 100644 .claude/skills/XR_refacter/SKILL.md
 create mode 100644 .jscpd.json

diff --git a/.claude/CLAUDE.md b/.claude/CLAUDE.md
index ed6d0749..49e90f20 100644
--- a/.claude/CLAUDE.md
+++ b/.claude/CLAUDE.md
@@ -23,6 +23,7 @@ Makefile は `nix develop --command bash -c "..."` でラップ済み。AI は
 | Lint 自動修正 | `make lint-fix` |
 | マイグレーション | `make migrate` / `make migrate-create MSG="..."` |
 | インフラ validate | `make infra-validate` |
+| コード重複検知 | `make dupe-check` （結果: `report/dupe/jscpd-report.json`） |
 
 ### 第二選択: `nix develop --command` ラッパー
 
@@ -56,6 +57,7 @@ error: opening lock file "~/.cache/nix/fetcher-locks/...lock": Operation not per
 - **過剰な抽象化を避ける**: PEP8 を守るな、PEP8 を理解した上で抽象化しろ。
 
 言語別の詳細ルールは `.claude/rules/{backend,frontend,infra}/` を参照。
+領域横断の共通ルール（DRY / 重複検知）は `.claude/rules/common/duplication.md` を参照。
 
 ## CI 確認ルール
 
diff --git a/.claude/rules/backend/python.md b/.claude/rules/backend/python.md
index aa98b8da..b8565f80 100644
--- a/.claude/rules/backend/python.md
+++ b/.claude/rules/backend/python.md
@@ -10,6 +10,7 @@ paths:
 - コード変更後は `make lint-backend` を実行し、違反がないことを確認すること（Nix devshell 経由で ruff が解決される）
 - 特定ファイルだけ検証したい場合は `nix develop --command bash -c "cd backend && .venv/bin/python -m ruff check <path>"` を使う。生シェルで `.venv/bin/python` を直接叩くのは禁止（WeasyPrint の動的ライブラリが解決できず import に失敗するため）
 - 未使用の import を残さないこと（F401）
+- 重複検知 / DRY ポリシーは `.claude/rules/common/duplication.md` を参照（抽出先は `backend/app/services/shared/` または同一サブパッケージの `_utils.py`）
 
 ## 例外処理の必須ルール
 
diff --git a/.claude/rules/common/duplication.md b/.claude/rules/common/duplication.md
new file mode 100644
index 00000000..a42c0acc
--- /dev/null
+++ b/.claude/rules/common/duplication.md
@@ -0,0 +1,106 @@
+# コード重複 / DRY ポリシー（共通）
+
+このルールは backend / frontend / infra すべての領域に適用される。
+領域別のコーディング規約（`.claude/rules/{backend,frontend,infra}/`）と併せて参照すること。
+
+## 原則
+
+### Rule of Three
+
+- **1 回目**: そのまま書く
+- **2 回目**: 重複を認識する（まだ抽象化しない）
+- **3 回目**: 抽出する。共通化先は下記「抽出先ヒエラルキー」に従う
+
+2 回目で先回り抽象化すると、想定外の差分が出た時に逆に複雑化する。3 つ目の利用箇所が現れた時点で、共通点と差分が明確になっているはずなので、そこで初めて抽出する。
+
+### 過剰な抽象化を避ける
+
+CLAUDE.md にある通り「PEP8 を守るな、PEP8 を理解した上で抽象化しろ」。重複検知 (jscpd) のレポートに引っかかったからといって、機械的に DRY 化してはいけない。「同じ形をしているが意味が違う」コードは別物として残すべき。
+
+判断基準:
+
+- **形は同じだが変更理由が違う** → 抽出しない（偶発的重複）
+- **形は違うが変更理由が同じ** → 抽出する（本質的重複）
+
+## 禁止される重複（本質的重複）
+
+以下が複数箇所に書かれていたら、原則として抽出対象とする。
+
+- **ドメインロジック**: スコア計算 / 正規化 / バリデーション / 状態遷移
+- **エラーマッピング**: バックエンドのエラーコード ↔ ユーザー向けメッセージの対応表
+- **API パス文字列**: `/api/v1/...` のリテラルが複数モジュールに散在
+- **環境変数名のリテラル**: `os.environ["TURSO_DATABASE_URL"]` のような文字列を `settings.py` 以外で参照
+- **DTO / 型定義**: backend `app/schemas/` ↔ frontend `src/types.ts` の二重定義（同じフィールド構造を別言語で持つこと自体は許容、ただし片方の変更がもう片方の更新を忘れさせるなら検知できる仕組みが必要）
+
+## 許容される類似（偶発的重複）
+
+機械検出 (jscpd) で重複として検出されても、抽出してはいけないもの。
+
+- **pytest fixture の最小スキャフォールド**: テスト個別の準備コード（`db_session` 等の共通 fixture と区別）
+- **Pydantic schema の field 列**: 似た形のレスポンス schema を 1 つにまとめると変更理由が混ざる
+- **`infra/environments/{dev,stg,prod}/terraform.tfvars` の同名キー**: 値が環境別なので冗長ではない
+- **テストの arrange-act-assert ブロック**: 「同じ流れ」は読みやすさのために残す
+- **JSDoc / docstring のテンプレート文言**: 「### Args」「### Returns」等のセクション見出し
+- **import 文の塊**: 同じライブラリ群を多くのモジュールが import すること自体
+
+## 抽出先ヒエラルキー
+
+重複を抽出すると決めたら、以下の順で配置先を決める。
+
+### Backend (FastAPI)
+
+1. **同一サブパッケージ内の純粋関数** → 同じディレクトリの `_utils.py` か `_helpers.py`
+2. **ドメイン横断のロジック** → `backend/app/services/shared/`
+3. **永続化に関する重複** → `backend/app/repositories/base.py` の共通メソッド
+4. **HTTP 入出力の変換** → `backend/app/routers/<scope>/_responses.py`
+5. **モデル / DTO** → `backend/app/schemas/shared.py`
+
+参考: 既存の `backend/app/services/shared/sort_utils.py` がドメイン横断 util の配置例。
+
+### Frontend (React + TypeScript)
+
+1. **状態管理を含む共通ロジック** → `frontend/src/hooks/` の新規フック（`useDocumentForm`, `useTaskPolling` パターン）
+2. **純粋関数 / 文字列変換 / 日付処理** → `frontend/src/utils/`
+3. **API クライアントの共通パターン** → `frontend/src/api/client.ts` のラッパー追加
+4. **フォーム入出力変換** → `frontend/src/formMappers.ts` / `frontend/src/payloadBuilders.ts`
+5. **共通 UI コンポーネント** → `frontend/src/components/ui/`（ErrorToast, Skeleton 等の配置例）
+6. **型定義** → `frontend/src/types.ts` / `frontend/src/formTypes.ts`
+
+### Infra (OpenTofu)
+
+1. **2 環境以上で同じ resource block** → `infra/modules/` に切り出し、各 environment から呼ぶ
+2. **環境別の値だけが違う構成** → モジュール側を `variable` 化、`environments/<env>/main.tf` で値を渡す
+3. **モジュール内部の重複** → サブモジュール化は慎重に（HCL のサブモジュール深掘りは可読性を下げる）
+
+参考: `infra/modules/cloud_run/` `artifact_registry/` `cloud_tasks/` `cloudflare/` `monitoring/` `service_account/` が既存モジュール例。
+
+### 領域横断 (BE ↔ FE ↔ infra)
+
+1. **エラーコード**: backend の `app/core/errors.py` を Single Source of Truth とし、frontend の `utils/appError.ts` は OpenAPI 経由で同期できないか検討する
+2. **環境変数名**: backend の `app/core/settings.py` で定義したフィールド名を、infra 側 (`infra/modules/cloud_run/main.tf` の `env` ブロック) と CI (`.github/workflows/ci.yml`) で参照する。リテラル文字列のコピペは避ける
+3. **手順書 / README / docs**: 重複しがちな手順は `docs/` に正本を置き、README からはリンクで参照する
+
+## 検知の運用
+
+### 機械検出 (jscpd)
+
+`make dupe-check` で `report/dupe/jscpd-report.json` を生成する。Phase 1 は warn-only（CI 落とさない）。
+PR 前に 1 度走らせて、新規重複が増えていないか確認する。
+
+しきい値 (`.jscpd.json`):
+
+- `minTokens: 50` / `minLines: 5` — これ未満の小片は無視
+- `threshold: 0` — Phase 1 は fail させない（baseline 確定後に引き上げ）
+
+### AI レビュー (refacter skill)
+
+- 領域内: `BE_refacter` / `FE_refacter` / `INFRA_refacter`
+- 領域横断: `XR_refacter`
+
+各 skill は `report/dupe/jscpd-*.json` を読み込んでから、「形だけ似ているのか / 本質的に重複しているのか」を判定する。
+本ルールの「禁止される重複」「許容される類似」を基準に分類する。
+
+### Stop hook (`.claude/settings.local.json`)
+
+Claude Code のセッション終了時に `make dupe-check` を background 実行する設定が入っている場合、
+次のセッションで `report/dupe/jscpd-report.json` を最初に読むこと。古い情報を引きずらないように。
diff --git a/.claude/rules/frontend/typescript.md b/.claude/rules/frontend/typescript.md
index 50896228..e9a8db12 100644
--- a/.claude/rules/frontend/typescript.md
+++ b/.claude/rules/frontend/typescript.md
@@ -8,6 +8,7 @@ paths:
 - ESLint / Prettier の設定に従うこと
 - リントは `make lint-frontend`、テストは `make test-frontend` を使う（Nix devshell 経由で解決される）
 - 個別スクリプトを叩きたい場合は `nix develop --command bash -c "cd frontend && npm run <script>"` を使う。生シェルでの `cd frontend && npm ...` は AI エージェントでは禁止
+- 重複検知 / DRY ポリシーは `.claude/rules/common/duplication.md` を参照（抽出先は `src/hooks/` `src/utils/` `src/components/ui/`）
 
 ## E2E テスト（Playwright）
 
diff --git a/.claude/rules/infra/opentofu.md b/.claude/rules/infra/opentofu.md
index d4794798..a690dc8a 100644
--- a/.claude/rules/infra/opentofu.md
+++ b/.claude/rules/infra/opentofu.md
@@ -15,3 +15,8 @@ CLI: OpenTofu (`tofu`) を使用する。Nix で管理されており `nix devel
 デプロイ: GitHub Actions で `dev` ブランチ push 時に frontend → Cloudflare Pages、backend → Docker → Artifact Registry → Cloud Run。
 
 DB は Turso (libSQL) を使用。Terraform 対象外で `turso CLI` 手動管理。詳細は `docs/data-model.md` の「Turso CLI セットアップ」参照。
+
+## 重複・DRY
+
+- 重複検知 / DRY ポリシーは `.claude/rules/common/duplication.md` を参照
+- `environments/{dev,stg,prod}` で同じ resource block をコピペしている場合は `modules/` 化を検討する（環境差分は `variable` で吸収）
diff --git a/.claude/skills/BE_apply/SKILL.md b/.claude/skills/BE_apply/SKILL.md
new file mode 100644
index 00000000..64f95b0a
--- /dev/null
+++ b/.claude/skills/BE_apply/SKILL.md
@@ -0,0 +1,194 @@
+---
+name: BE_apply
+description: Use when applying the refactor plan produced by the BE_refacter skill. Reads `report/BE_report_<timestamp>.md` (latest by default, or a path passed as argument), confirms scope with the user, implements the changes against `backend/`, runs lint/tests, then writes a result report to `report/BE_pr_<timestamp>.md`. Trigger on requests such as "BE_apply 実行", "backend のリファクタを適用", "BE レポートの内容を実装", "report の指摘を直して".
+---
+
+# Backend Refactor Apply
+
+`BE_refacter` skill が生成したレビュー (`report/BE_report_*.md`) を入力にして、実際のコード修正・検証・PR 用レポート作成までを行う skill。
+
+## 先に読む
+
+- `.claude/CLAUDE.md`
+- `.claude/skills/BE_refacter/SKILL.md`（出力フォーマットの参照元）
+- `.claude/rules/backend/architecture.md`
+- `.claude/rules/backend/python.md`
+- `.claude/rules/backend/database.md`
+- `.claude/rules/backend/auth-security.md`
+- `.claude/rules/backend/test.md`
+
+## 入力（対象レポートの選択）
+
+引数で明示パスが渡されていればそれを使う。なければ `report/BE_report_*.md` の中で最新（mtime 降順）を採用する。
+
+```bash
+# 明示
+/BE_apply report/BE_report_20260516_1042.md
+
+# 省略時 = 最新を自動採用
+/BE_apply
+```
+
+最初に必ずユーザーへ「採用したレポートのパス」を 1 行返す。
+
+```text
+採用レポート: report/BE_report_20260516_1042.md
+```
+
+`report/` 配下に `BE_report_*.md` が一つも無い場合はここで停止し、`/BE_refacter` の実行を促す。
+
+## 実装スコープの確認（必須）
+
+レポートを読み込んだら、Findings を High / Medium / Low の件数だけ集計してユーザーへ提示し、どこまで実装するかを **毎回必ず聞く**。勝手に全件着手してはいけない。
+
+提示例:
+
+```text
+採用レポート: report/BE_report_20260516_1042.md
+Findings: High 3 / Medium 5 / Low 8
+Test Review: Remove 2 / Add 4
+Structure: Oversized 2 / Directory 1
+
+どこまで適用しますか？
+  1) High のみ
+  2) High + Medium
+  3) Test Review (Remove/Add) も含める
+  4) Structure (ディレクトリ移動) も含める
+  5) 全部
+  6) 個別に選ぶ（番号で指定）
+```
+
+`AskUserQuestion` で選ばせるのが望ましい。「個別」が選ばれた場合は、Findings の見出しを番号付きで列挙して再選択させる。
+
+## 実装の進め方
+
+1. **タスク化**: 採用した各項目を `TaskCreate` で 1 タスクずつ切り、`in_progress` → `completed` を必ず更新する。
+2. **小さく分ける**: 「責務分離」「ファイル分割」「テスト追加」「テスト削除」を別タスクにする。1 タスクあたりの diff は読める範囲に保つ。
+3. **`backend/` のコーディング規約を厳守**:
+   - コメント・docstring は日本語
+   - HTTPException の `detail` は日本語
+   - `except: pass` 禁止、最低限 `logger.warning`
+   - 黙って return 禁止。失敗パスは `NonRetryableError` / `RetryableError` を `raise`
+   - 統合テストで DB をモックしない（実 DB セッションを使う）
+4. **Structure 変更（ファイル移動・分割）を含む場合**:
+   - import パスの追従漏れに注意。`rg "from app\.<old_path>"` で参照を必ず洗う
+   - `repositories.py` のような単一ファイル → package 化は、`__init__.py` で旧 API を再エクスポートするか、import 側を全部追従するかのどちらかを決めてから着手
+5. **テスト Add/Remove**:
+   - Remove は「同じ仕様を別テストが守っているか」をレポートの根拠と実 grep の両方で確認してから消す
+   - Add は「守る仕様」をテスト名に書き、回帰時に意味が読める名前にする
+
+## 検証（必須）
+
+実装が一通り終わったら `make ci` 相当を回す。スキップ禁止。
+
+```bash
+make lint-backend
+make test-backend
+```
+
+または一括:
+
+```bash
+make ci
+```
+
+sandbox が `~/.cache/nix/fetcher-locks/*.lock` で落ちる場合は `dangerouslyDisableSandbox: true` で再実行する（CLAUDE.md の既知の例外）。
+
+特定ファイルだけ確認したい場合のみ:
+
+```bash
+nix develop --command bash -c "cd backend && .venv/bin/python -m ruff check <touched_file>"
+nix develop --command bash -c "cd backend && .venv/bin/python -m pytest <touched_test> -q"
+```
+
+lint / test に失敗したら、原因を直してから次の検証に進む。失敗を残したまま PR レポートを書かない。`--no-verify` 等で hook を skip しない。
+
+## 成果物の出力先（必須）
+
+実装と検証が完了したら、PR 用のサマリを必ずファイルへ書く。assistant メッセージに本文を貼らない。
+
+- 保存先: `report/BE_pr_<YYYYMMDD_HHMM>.md`
+  - 例: `report/BE_pr_20260516_1530.md`
+  - `report/` が無ければ作成する (`mkdir -p report`)
+  - タイムスタンプは **PR レポート書き出し時刻**（ローカル）。`date +%Y%m%d_%H%M`
+- 既存 `BE_pr_*.md` は履歴として残す。上書き禁止
+- 採用元レポートのパスを冒頭に明記する
+
+### ターミナルへの出力ルール
+
+- 詳細はファイルにだけ書く
+- ターミナルへ返すのは以下のみ:
+  1. 採用レポートのパス
+  2. PR レポートのパス（`report/BE_pr_YYYYMMDD_HHMM.md`）
+  3. `Summary` セクションの 3-5 行サマリ
+  4. 検証結果（pass / fail）
+  5. 残タスク（次に手をつけるべき項目があれば 1-2 行）
+
+## PR レポートのフォーマット
+
+下記テンプレートを `report/BE_pr_<YYYYMMDD_HHMM>.md` に書き込む。
+
+````markdown
+# Backend Refactor PR Report
+
+- 採用レポート: report/BE_report_YYYYMMDD_HHMM.md
+- 実装ブランチ: <git branch>
+- 適用スコープ: <High のみ / High+Medium / 全部 など>
+
+## Summary
+- 何を変えたかを 3-5 行で要約
+
+## Applied Changes
+### High
+- [path/to/file.py:line] 何を直したか。元レポートの指摘番号や見出しを引用。
+
+### Medium
+- ...
+
+### Low
+- ...
+
+## Test Changes
+### Removed
+- [path] 削除した理由。残った保護。
+
+### Added
+- [path] 追加したテストが守る仕様。
+
+## Duplication Resolved
+- [path] レポートの Duplication Findings (High/Medium) のうち何を統合したか。抽出先 (`services/shared/...` 等) と差分の吸収方法。
+- 残した偶発的重複は Skipped へ。
+
+## Structure Changes
+- 変更前 / 変更後のディレクトリ構成（変更があった場合のみ）
+
+```text
+backend/app/
+  routers/
+  services/
+  ...
+```
+
+## Skipped
+- 採用しなかった指摘と理由（後続 PR に回す、影響範囲が大きい、など）
+
+## Validation
+- `make lint-backend`: pass / fail（fail なら抜粋）
+- `make test-backend`: pass / fail（fail なら抜粋、件数）
+- 追加で回したコマンドがあれば列挙
+
+## Follow-ups
+- 次の PR で対応すべき項目
+- 仕様判断が必要で保留にした項目
+````
+
+## 進め方の流れ（チェックリスト）
+
+1. 採用レポートを決定し、パスをユーザーへ提示
+2. Findings 集計を提示し、`AskUserQuestion` で適用スコープを選ばせる
+3. 採用項目を `TaskCreate` で 1 つずつ切る
+4. 各タスクを `in_progress` にして実装、終わったら `completed`
+5. `make lint-backend` と `make test-backend`（または `make ci`）を回す
+6. fail があれば直す。pass まで PR レポートを書かない
+7. `report/BE_pr_<YYYYMMDD_HHMM>.md` を書く
+8. ターミナルにはパスとサマリだけ返す
diff --git a/.claude/skills/backend_refacter/SKILL.md b/.claude/skills/BE_refacter/SKILL.md
similarity index 63%
rename from .claude/skills/backend_refacter/SKILL.md
rename to .claude/skills/BE_refacter/SKILL.md
index 91649338..34a77e07 100644
--- a/.claude/skills/backend_refacter/SKILL.md
+++ b/.claude/skills/BE_refacter/SKILL.md
@@ -1,5 +1,5 @@
 ---
-name: backend_refacter
+name: BE_refacter
 description: Use when reviewing or planning refactors for the DevForge FastAPI backend, especially for maintainability, redundant or missing unit tests, oversized modules or classes, responsibility separation, and directory structure changes. Trigger on requests such as “backend のリファクタリングを見て”, “保守性を確認”, “不要な単体テスト”, “単体テストは十分か”, “責務分離”, or “構成見直し”.
 ---
 
@@ -12,7 +12,9 @@ description: Use when reviewing or planning refactors for the DevForge FastAPI b
 - `.claude/rules/backend/python.md`
 - `.claude/rules/backend/database.md`
 - `.claude/rules/backend/auth-security.md`
+- `.claude/rules/common/duplication.md`（DRY / 重複検知ポリシー）
 - LLM やブログ AI 分析を含む場合だけ `.claude/rules/backend/llm.md`
+- `report/dupe/jscpd-report.json` が存在すれば最新を読み込み、backend に該当する clone を抽出して Duplication Findings の素材にする
 
 ## 対象
 
@@ -21,6 +23,26 @@ description: Use when reviewing or planning refactors for the DevForge FastAPI b
 - `backend/alembic_migrations/**`
 - 必要に応じて `backend/scripts/**`, `backend/Dockerfile`, `backend/requirements.txt`
 
+## 成果物の出力先（必須）
+
+レビュー本文はターミナルに垂れ流さず、必ずファイルへ保存する。スクロールで流れて読み返せなくなるのを防ぐためのルール。
+
+- 保存先: `report/BE_report_<YYYYMMDD_HHMM>.md`
+  - 例: `report/BE_report_20260516_1042.md`
+  - `report/` が無ければ作成する (`mkdir -p report`)
+  - タイムスタンプはレビュー開始時刻のローカルタイム (`date +%Y%m%d_%H%M`)
+- ファイル中身は本ドキュメント末尾の「推奨出力フォーマット」に従う
+- 既存の `BE_report_*.md` は削除しない（履歴として残す）
+
+### ターミナルへの出力ルール
+
+- レポート本文を assistant メッセージへ貼らない（ファイルにだけ書く）
+- ターミナルには以下だけを返す:
+  1. 保存先パス（`report/BE_report_YYYYMMDD_HHMM.md`）
+  2. `Verdict` セクションの 3-5 行サマリのみ
+  3. 次に取るべきアクション（あれば 1-2 行）
+- Findings / Test Review / Structure Review / Refactor Plan などの詳細セクションはファイル参照に留める
+
 ## 目的
 
 この skill の目的は、単なる感想ではなく「どこが保守しづらいか」「どのテストが低価値か」「どのテストが足りないか」「どの責務を分離すべきか」を、根拠付きでレビューすることです。
@@ -87,7 +109,28 @@ description: Use when reviewing or planning refactors for the DevForge FastAPI b
 - マイグレーション後の不変条件
 - セキュリティ設定: cookie, CSRF, GitHub OAuth state, rate limit
 
-### 4. ディレクトリ構成レビュー
+### 4. 重複検知レビュー（Duplication Findings）
+
+`make dupe-check` で `report/dupe/jscpd-report.json` を生成し、backend 配下の clone を抽出する。
+生成されていない場合は `make dupe-check` を sandbox 無効で 1 回回してから本セクションに進む。
+
+抽出した clone を以下の 3 分類でラベリングする（`.claude/rules/common/duplication.md` の基準に従う）。
+
+- **本質的重複**（抽出すべき）: ドメインロジック / バリデーション / スコア計算 / エラーマッピング / API パスや env 名リテラル / DTO 変換ロジック
+- **偶発的重複**（抽出しない）: SQLAlchemy の `created_at` / `updated_at` 定義などの boilerplate、Pydantic schema の field 列、pytest fixture の minimal scaffolding、import 文の塊
+- **意味的重複**（jscpd では拾えない）: 変数名やシグネチャは違うが「同じ判断・同じ整形・同じ I/O パターン」を行うコード。grep + 目視で別途探す。例: 似た Cloud Tasks エンキューロジック、似た LLM 呼び出しエラーハンドリング、似たエラー → HTTPException 変換
+
+本質的重複は「3 回目で抽出（Rule of Three）」を守る。2 箇所だけの重複は **記録するが、抽出は次の重複出現時まで保留**。
+
+抽出先は `.claude/rules/common/duplication.md` の「Backend (FastAPI)」ヒエラルキーに従う:
+
+1. 同一サブパッケージ内 → `_utils.py` / `_helpers.py`
+2. ドメイン横断 → `backend/app/services/shared/`
+3. 永続化 → `repositories/base.py`
+4. HTTP 入出力 → `routers/<scope>/_responses.py`
+5. モデル / DTO → `schemas/shared.py`
+
+### 5. ディレクトリ構成レビュー
 
 以下を見ます。
 
@@ -112,6 +155,8 @@ description: Use when reviewing or planning refactors for the DevForge FastAPI b
 
 ## 推奨出力フォーマット
 
+下記テンプレートを `report/BE_report_<YYYYMMDD_HHMM>.md` に書き込む。ターミナルには貼らない。
+
 ````markdown
 # Backend Refactor Review
 
@@ -135,6 +180,16 @@ description: Use when reviewing or planning refactors for the DevForge FastAPI b
 ### Add
 - [path or module] どのケースを追加すべきか。守る仕様は何か。
 
+## Duplication Findings
+### High（本質的重複・抽出強く推奨）
+- [path1:line] ↔ [path2:line] (jscpd: N tokens) 何が重複しているか。本質的な理由。抽出先候補（`services/shared/<name>.py` など）
+
+### Medium（意味的重複・要検討）
+- [path1] と [path2] の処理パターンが同義。差分は X のみ。共通ヘルパに切り出すと差分が明示できる。
+
+### Allowed Duplication（記録のみ・抽出しない）
+- [path:line] SQLAlchemy boilerplate などの偶発的重複。jscpd で検出されたが規約上抽出しない理由。
+
 ## Structure Review
 ### Oversized Modules or Classes
 - [path] 責務が何個あるか。どう切るか。
@@ -164,6 +219,7 @@ backend/app/
 
 - `make lint-backend`
 - `make test-backend`
+- `make dupe-check`（重複検知。`report/dupe/jscpd-report.json` を生成。sandbox は無効化して実行）
 
 特定ファイルだけ検証したい場合は `nix develop --command bash -c "cd backend && .venv/bin/python -m ruff check <path>"` を使う。生シェルで `.venv/bin/python` を直接叩くのは禁止（WeasyPrint の動的ライブラリが解決できず import に失敗する）。
 
diff --git a/.claude/skills/FE_apply/SKILL.md b/.claude/skills/FE_apply/SKILL.md
new file mode 100644
index 00000000..c2fb7bab
--- /dev/null
+++ b/.claude/skills/FE_apply/SKILL.md
@@ -0,0 +1,204 @@
+---
+name: FE_apply
+description: Use when applying the refactor plan produced by the FE_refacter skill. Reads `report/FE_report_<timestamp>.md` (latest by default, or a path passed as argument), confirms scope with the user, implements the changes against `frontend/`, runs lint/test/build, then writes a result report to `report/FE_pr_<timestamp>.md`. Trigger on requests such as "FE_apply 実行", "frontend のリファクタを適用", "FE レポートの内容を実装", "report の指摘を直して".
+---
+
+# Frontend Refactor Apply
+
+`FE_refacter` skill が生成したレビュー (`report/FE_report_*.md`) を入力にして、実際のコード修正・検証・PR 用レポート作成までを行う skill。
+
+## 先に読む
+
+- `.claude/CLAUDE.md`
+- `.claude/skills/FE_refacter/SKILL.md`（出力フォーマットの参照元）
+- `.claude/rules/frontend/architecture.md`
+- `.claude/rules/frontend/typescript.md`
+- `.claude/rules/frontend/test.md`
+
+API 契約の変更を伴う場合は backend 側 (`backend/app/routers/*`, `backend/app/schemas.py`) も確認すること。
+
+## 入力（対象レポートの選択）
+
+引数で明示パスが渡されていればそれを使う。なければ `report/FE_report_*.md` の中で最新（mtime 降順）を採用する。
+
+```bash
+# 明示
+/FE_apply report/FE_report_20260516_1042.md
+
+# 省略時 = 最新を自動採用
+/FE_apply
+```
+
+最初に必ずユーザーへ「採用したレポートのパス」を 1 行返す。
+
+```text
+採用レポート: report/FE_report_20260516_1042.md
+```
+
+`report/` 配下に `FE_report_*.md` が一つも無い場合はここで停止し、`/FE_refacter` の実行を促す。
+
+## 実装スコープの確認（必須）
+
+レポートを読み込んだら、Findings を High / Medium / Low の件数だけ集計してユーザーへ提示し、どこまで実装するかを **毎回必ず聞く**。勝手に全件着手してはいけない。
+
+提示例:
+
+```text
+採用レポート: report/FE_report_20260516_1042.md
+Findings: High 2 / Medium 4 / Low 6
+Test Review: Remove 3 / Add 5
+Structure: Oversized 2 / Directory 1
+
+どこまで適用しますか？
+  1) High のみ
+  2) High + Medium
+  3) Test Review (Remove/Add) も含める
+  4) Structure (ディレクトリ移動・hook 切り出し) も含める
+  5) 全部
+  6) 個別に選ぶ（番号で指定）
+```
+
+`AskUserQuestion` で選ばせるのが望ましい。「個別」が選ばれた場合は、Findings の見出しを番号付きで列挙して再選択させる。
+
+## 実装の進め方
+
+1. **タスク化**: 採用した各項目を `TaskCreate` で 1 タスクずつ切り、`in_progress` → `completed` を必ず更新する。
+2. **小さく分ける**: 「component 分割」「hook 切り出し」「テスト追加」「テスト削除」「ファイル移動」を別タスクにする。1 タスクあたりの diff は読める範囲に保つ。
+3. **`frontend/` のコーディング規約を厳守**:
+   - コメント・JSDoc は日本語
+   - エラーメッセージ・トースト文言などユーザー向け表示は日本語
+   - `any` は禁止。型を曖昧にせず適切に narrowing する
+   - hook の責務を肥大化させない。「fetch + form state + 文言 + UI 判定」を 1 hook に詰めない
+4. **Structure 変更（ファイル移動・分割・hook 切り出し）を含む場合**:
+   - import パスの追従漏れに注意。`rg "from ['\"](\\.\\./)*<old_path>"` で参照を必ず洗う
+   - CSS Module の path も追従する
+   - 共通 → feature 配下へ降ろす場合、本当に他で使われていないか `rg` で確認してから移す
+5. **テスト Add/Remove**:
+   - Remove は「同じユーザー挙動を別テストが守っているか」をレポートの根拠と実 grep の両方で確認してから消す
+   - Add は「守るユーザー挙動」をテスト名に書く（描画ではなく挙動を assert する）
+   - snapshot の濫用を増やさない
+
+## 検証（必須）
+
+実装が一通り終わったら `make ci` 相当を回す。スキップ禁止。
+
+```bash
+make lint-frontend
+make test-frontend
+make build-frontend
+```
+
+または一括:
+
+```bash
+make ci
+```
+
+新規ページ・ルート追加、認証/ナビゲーション/レイアウト変更、サイドバーコンポーネント変更、UI フローに影響する API 変更を含む場合は E2E も回す:
+
+```bash
+nix develop --command bash -c "cd frontend && npm run test:e2e"
+```
+
+sandbox が `~/.cache/nix/fetcher-locks/*.lock` で落ちる場合は `dangerouslyDisableSandbox: true` で再実行する（CLAUDE.md の既知の例外）。
+
+特定スクリプトだけ叩きたい場合のみ:
+
+```bash
+nix develop --command bash -c "cd frontend && npm run <script>"
+```
+
+lint / test / build に失敗したら、原因を直してから次の検証に進む。失敗を残したまま PR レポートを書かない。`--no-verify` 等で hook を skip しない。
+
+## 成果物の出力先（必須）
+
+実装と検証が完了したら、PR 用のサマリを必ずファイルへ書く。assistant メッセージに本文を貼らない。
+
+- 保存先: `report/FE_pr_<YYYYMMDD_HHMM>.md`
+  - 例: `report/FE_pr_20260516_1530.md`
+  - `report/` が無ければ作成する (`mkdir -p report`)
+  - タイムスタンプは **PR レポート書き出し時刻**（ローカル）。`date +%Y%m%d_%H%M`
+- 既存 `FE_pr_*.md` は履歴として残す。上書き禁止
+- 採用元レポートのパスを冒頭に明記する
+
+### ターミナルへの出力ルール
+
+- 詳細はファイルにだけ書く
+- ターミナルへ返すのは以下のみ:
+  1. 採用レポートのパス
+  2. PR レポートのパス（`report/FE_pr_YYYYMMDD_HHMM.md`）
+  3. `Summary` セクションの 3-5 行サマリ
+  4. 検証結果（pass / fail）
+  5. 残タスク（次に手をつけるべき項目があれば 1-2 行）
+
+## PR レポートのフォーマット
+
+下記テンプレートを `report/FE_pr_<YYYYMMDD_HHMM>.md` に書き込む。
+
+````markdown
+# Frontend Refactor PR Report
+
+- 採用レポート: report/FE_report_YYYYMMDD_HHMM.md
+- 実装ブランチ: <git branch>
+- 適用スコープ: <High のみ / High+Medium / 全部 など>
+
+## Summary
+- 何を変えたかを 3-5 行で要約
+
+## Applied Changes
+### High
+- [path/to/file.tsx:line] 何を直したか。元レポートの指摘番号や見出しを引用。
+
+### Medium
+- ...
+
+### Low
+- ...
+
+## Test Changes
+### Removed
+- [path] 削除した理由。残った保護。
+
+### Added
+- [path] 追加したテストが守るユーザー挙動。
+
+## Duplication Resolved
+- [path] レポートの Duplication Findings (High/Medium) のうち何を統合したか。抽出先 (`hooks/useXxx.ts` / `utils/...` 等) と差分の吸収方法。
+- 残した偶発的重複は Skipped へ。
+
+## Structure Changes
+- 変更前 / 変更後のディレクトリ構成や hook 切り出し（変更があった場合のみ）
+
+```text
+frontend/src/
+  pages/
+  components/
+  hooks/
+  ...
+```
+
+## Skipped
+- 採用しなかった指摘と理由（後続 PR に回す、影響範囲が大きい、など）
+
+## Validation
+- `make lint-frontend`: pass / fail（fail なら抜粋）
+- `make test-frontend`: pass / fail（fail なら抜粋、件数）
+- `make build-frontend`: pass / fail
+- E2E (`npm run test:e2e`): 実行有無と結果。実行しなかった場合は理由
+
+## Follow-ups
+- 次の PR で対応すべき項目
+- 仕様判断が必要で保留にした項目
+````
+
+## 進め方の流れ（チェックリスト）
+
+1. 採用レポートを決定し、パスをユーザーへ提示
+2. Findings 集計を提示し、`AskUserQuestion` で適用スコープを選ばせる
+3. 採用項目を `TaskCreate` で 1 つずつ切る
+4. 各タスクを `in_progress` にして実装、終わったら `completed`
+5. `make lint-frontend` / `make test-frontend` / `make build-frontend`（または `make ci`）を回す
+6. UI フローに影響する変更なら E2E も回す
+7. fail があれば直す。pass まで PR レポートを書かない
+8. `report/FE_pr_<YYYYMMDD_HHMM>.md` を書く
+9. ターミナルにはパスとサマリだけ返す
diff --git a/.claude/skills/frontend_refacter/SKILL.md b/.claude/skills/FE_refacter/SKILL.md
similarity index 58%
rename from .claude/skills/frontend_refacter/SKILL.md
rename to .claude/skills/FE_refacter/SKILL.md
index 2a002061..66641b3e 100644
--- a/.claude/skills/frontend_refacter/SKILL.md
+++ b/.claude/skills/FE_refacter/SKILL.md
@@ -1,5 +1,5 @@
 ---
-name: frontend_refacter
+name: FE_refacter
 description: Use when reviewing or planning refactors for the DevForge React frontend, especially for maintainability, redundant or missing unit tests, oversized components or hooks, responsibility separation, and directory structure changes. Trigger on requests such as “frontend のリファクタリングを見て”, “保守性を確認”, “不要な単体テスト”, “単体テストは十分か”, “責務分離”, or “構成見直し”.
 ---
 
@@ -10,6 +10,8 @@ description: Use when reviewing or planning refactors for the DevForge React fro
 - `.claude/CLAUDE.md`
 - `.claude/rules/frontend/architecture.md`
 - `.claude/rules/frontend/typescript.md`
+- `.claude/rules/common/duplication.md`（DRY / 重複検知ポリシー）
+- `report/dupe/jscpd-report.json` が存在すれば最新を読み込み、frontend に該当する clone を抽出して Duplication Findings の素材にする
 
 必要に応じて backend 側 API 契約も確認すること。
 
@@ -19,6 +21,26 @@ description: Use when reviewing or planning refactors for the DevForge React fro
 - `frontend/tests/**`
 - 必要に応じて `frontend/package.json`, `frontend/vite.config.ts`, `frontend/eslint.config.js`
 
+## 成果物の出力先（必須）
+
+レビュー本文はターミナルに垂れ流さず、必ずファイルへ保存する。スクロールで流れて読み返せなくなるのを防ぐためのルール。
+
+- 保存先: `report/FE_report_<YYYYMMDD_HHMM>.md`
+  - 例: `report/FE_report_20260516_1042.md`
+  - `report/` が無ければ作成する (`mkdir -p report`)
+  - タイムスタンプはレビュー開始時刻のローカルタイム (`date +%Y%m%d_%H%M`)
+- ファイル中身は本ドキュメント末尾の「推奨出力フォーマット」に従う
+- 既存の `FE_report_*.md` は削除しない（履歴として残す）
+
+### ターミナルへの出力ルール
+
+- レポート本文を assistant メッセージへ貼らない（ファイルにだけ書く）
+- ターミナルには以下だけを返す:
+  1. 保存先パス（`report/FE_report_YYYYMMDD_HHMM.md`）
+  2. `Verdict` セクションの 3-5 行サマリのみ
+  3. 次に取るべきアクション（あれば 1-2 行）
+- Findings / Test Review / Structure Review / Refactor Plan などの詳細セクションはファイル参照に留める
+
 ## 目的
 
 この skill の目的は、React/TypeScript の保守性を「見た目」ではなく、責務分離、状態管理、テスト価値、構成の探索容易性で評価することです。
@@ -84,7 +106,29 @@ description: Use when reviewing or planning refactors for the DevForge React fro
 不要テストを挙げるときは、必ず「削っても残る保護」を書くこと。  
 不足テストを挙げるときは、必ず「何の仕様を守るためのテストか」を書くこと。
 
-### 4. ディレクトリ構成レビュー
+### 4. 重複検知レビュー（Duplication Findings）
+
+`make dupe-check` で `report/dupe/jscpd-report.json` を生成し、`frontend/src` 配下の clone を抽出する。
+生成されていない場合は `make dupe-check` を sandbox 無効で 1 回回してから本セクションに進む。
+
+抽出した clone を以下の 3 分類でラベリングする（`.claude/rules/common/duplication.md` の基準に従う）。
+
+- **本質的重複**（抽出すべき）: 同じデータ取得 + フォーム状態管理のロジック、同じ payload 変換、同じエラーマッピング、同じ API 呼び出しパターン、複数 component に散らばった同一 derived state
+- **偶発的重複**（抽出しない）: import 文の塊、Redux slice の boilerplate、同形の TypeScript interface 定義（変更理由が違う）、CSS Module の class 列、test の arrange-act-assert の流れ
+- **意味的重複**（jscpd では拾えない）: 別 hook で「同じデータ取得 + loading/error 管理 + キャッシュ」を別実装している、複数 component で「同じ条件分岐 + 描画」を別実装している。grep + 目視で別途探す。`useDocumentForm` / `useTaskPolling` / `useAsyncAnalysisPage` のような既存共通フックで吸収できないか確認する
+
+本質的重複は「3 回目で抽出（Rule of Three）」を守る。
+
+抽出先は `.claude/rules/common/duplication.md` の「Frontend」ヒエラルキーに従う:
+
+1. 状態管理を含むロジック → `src/hooks/` の新規フック
+2. 純粋関数・文字列変換・日付処理 → `src/utils/`
+3. API クライアントの共通パターン → `src/api/client.ts` のラッパー
+4. フォーム入出力変換 → `src/formMappers.ts` / `src/payloadBuilders.ts`
+5. 共通 UI コンポーネント → `src/components/ui/`
+6. 型定義 → `src/types.ts` / `src/formTypes.ts`
+
+### 5. ディレクトリ構成レビュー
 
 以下を確認します。
 
@@ -109,6 +153,8 @@ description: Use when reviewing or planning refactors for the DevForge React fro
 
 ## 推奨出力フォーマット
 
+下記テンプレートを `report/FE_report_<YYYYMMDD_HHMM>.md` に書き込む。ターミナルには貼らない。
+
 ````markdown
 # Frontend Refactor Review
 
@@ -132,6 +178,16 @@ description: Use when reviewing or planning refactors for the DevForge React fro
 ### Add
 - [path or feature] どのユーザー挙動を守るテストか。
 
+## Duplication Findings
+### High（本質的重複・抽出強く推奨）
+- [path1:line] ↔ [path2:line] (jscpd: N tokens) 何が重複しているか。本質的な理由。抽出先候補（`hooks/useXxx.ts` など）
+
+### Medium（意味的重複・要検討）
+- [path1] と [path2] の hook が同じデータ取得 + loading/error 管理パターン。既存の `useDocumentForm` で吸収できないか / 新規フックに統合するか。
+
+### Allowed Duplication（記録のみ・抽出しない）
+- [path:line] Redux slice / interface 定義などの偶発的重複。jscpd で検出されたが規約上抽出しない理由。
+
 ## Structure Review
 ### Oversized Components or Hooks
 - [path] 何の責務が混ざっているか。どう切るか。
@@ -164,6 +220,7 @@ frontend/src/
 - `make lint-frontend`
 - `make test-frontend`
 - `make build-frontend`
+- `make dupe-check`（重複検知。`report/dupe/jscpd-report.json` を生成。sandbox は無効化して実行）
 
 個別スクリプトを叩きたい場合は `nix develop --command bash -c "cd frontend && npm run <script>"` を使う。生シェルでの `cd frontend && npm ...` は AI エージェントでは禁止。
 
diff --git a/.claude/skills/INFRA_apply/SKILL.md b/.claude/skills/INFRA_apply/SKILL.md
new file mode 100644
index 00000000..0f7980b7
--- /dev/null
+++ b/.claude/skills/INFRA_apply/SKILL.md
@@ -0,0 +1,192 @@
+---
+name: INFRA_apply
+description: Use when applying the refactor plan produced by the INFRA_refacter skill. Reads `report/INFRA_report_<timestamp>.md` (latest by default, or a path passed as argument), confirms scope with the user, implements changes against `infra/` (modules 化 / variable 抽出 / module 統合), runs infra-fmt-check / infra-validate / dupe-check, then writes a result report to `report/INFRA_pr_<timestamp>.md`. Trigger on requests such as "INFRA_apply 実行", "infra のリファクタを適用", "INFRA レポートの内容を実装", "modules 化を実装".
+---
+
+# Infra Refactor Apply
+
+`INFRA_refacter` skill が生成したレビュー (`report/INFRA_report_*.md`) を入力にして、実際の infra 変更 (modules 化 / variable 抽出 / 統合) と検証、PR 用レポート作成までを行う skill。
+
+## 先に読む
+
+- `.claude/CLAUDE.md`
+- `.claude/skills/INFRA_refacter/SKILL.md`（出力フォーマットの参照元）
+- `.claude/rules/infra/opentofu.md`
+- `.claude/rules/infra/test.md`
+- `.claude/rules/common/duplication.md`
+
+## 入力（対象レポートの選択）
+
+引数で明示パスが渡されていればそれを使う。なければ `report/INFRA_report_*.md` の中で最新（mtime 降順）を採用する。
+
+```bash
+/INFRA_apply report/INFRA_report_20260516_1042.md
+/INFRA_apply
+```
+
+最初に必ずユーザーへ「採用したレポートのパス」を 1 行返す。
+
+```text
+採用レポート: report/INFRA_report_20260516_1042.md
+```
+
+`report/` 配下に `INFRA_report_*.md` が無い場合は停止し、`/INFRA_refacter` の実行を促す。
+
+## 実装スコープの確認（必須）
+
+レポートを読み込んだら、Findings を High / Medium / Low の件数と Modules 化候補 / Variable 抽出候補 / Module 統合候補の件数で集計してユーザーへ提示し、どこまで適用するかを **毎回必ず聞く**。勝手に全件着手してはいけない。
+
+提示例:
+
+```text
+採用レポート: report/INFRA_report_20260516_1042.md
+Findings: High 2 / Medium 4 / Low 3
+Duplication: Modules 化 2 / Variable 抽出 3 / Module 統合 1
+Structure: Oversized 1 / Directory 1
+
+どこまで適用しますか？
+  1) High のみ
+  2) High + Medium
+  3) Duplication (Modules 化 / Variable 抽出) も含める
+  4) Structure (ディレクトリ変更) も含める
+  5) 全部
+  6) 個別に選ぶ（番号で指定）
+```
+
+`AskUserQuestion` で選ばせるのが望ましい。
+
+## 実装の進め方
+
+1. **タスク化**: 採用した各項目を `TaskCreate` で 1 タスクずつ切る。
+2. **小さく分ける**: 「modules 抽出」「variable 化」「環境呼び出し追従」「state 移行」を別タスクにする。
+3. **`infra/` のコーディング規約を厳守**:
+   - コメント・description は日本語
+   - `terraform.tfvars` は Git 管理対象外（`.gitignore` 済み）。env 別値は `*.auto.tfvars.example` 等で例を残す
+   - `lifecycle { prevent_destroy = true }` 付きリソースの破壊的変更は禁止
+4. **Modules 化**:
+   - `infra/modules/<new_name>/{main.tf, variables.tf, outputs.tf}` を作成
+   - `environments/<env>/main.tf` の対応する resource を削除し、`module "<new_name>" { source = "../../modules/<new_name>" ... }` に置換
+   - 既存リソースを modules 経由に切り替える場合、**state 移行が必要**。`tofu state mv <old> <new>` の手順を Validation セクションに書く
+   - state 移行は本番影響あるため、提案時は **PR を分けて apply 担当者に手順を明示** する
+5. **Variable 抽出**:
+   - module 内のハードコード値を `variable "..." { type = ... default = ... }` で抽出
+   - `environments/<env>/main.tf` の module 呼び出しで明示的に渡す
+   - 全環境で同じ値なら default を残し env 側で省略可能にする
+6. **Module 統合**:
+   - 2 module を 1 つに統合する場合、差分は variable で吸収
+   - 旧 module ディレクトリは削除し、参照側を一括追従する
+
+## 検証（必須）
+
+実装が一通り終わったら **必ず全環境で validate を回す**。modules を触ったら dev/stg/prod 全て必須（`.claude/rules/infra/test.md`）。
+
+```bash
+make infra-fmt-check
+make infra-validate          # dev / stg / prod 全環境
+make dupe-check              # 重複率 before/after の比較
+```
+
+state 影響がある場合は手元で `tofu plan` を回し、意図しない `-/+` 再作成が無いか確認する:
+
+```bash
+nix develop --command bash -c "tofu -chdir=infra/environments/dev plan"
+nix develop --command bash -c "tofu -chdir=infra/environments/stg plan"
+nix develop --command bash -c "tofu -chdir=infra/environments/prod plan"
+```
+
+sandbox が `~/.cache/nix/fetcher-locks/*.lock` で落ちる場合は `dangerouslyDisableSandbox: true` で再実行。
+
+validate / plan に意図しない差分があれば、原因を直してから次に進む。`prevent_destroy` 付きリソースの再作成差分は絶対に PR レポートに pass と書かない。
+
+## 成果物の出力先（必須）
+
+- 保存先: `report/INFRA_pr_<YYYYMMDD_HHMM>.md`
+- 既存 `INFRA_pr_*.md` は履歴として残す。上書き禁止
+- 採用元レポートのパスを冒頭に明記
+
+### ターミナルへの出力ルール
+
+- 詳細はファイルにだけ書く
+- ターミナルへ返すのは:
+  1. 採用レポートのパス
+  2. PR レポートのパス
+  3. `Summary` 3-5 行
+  4. 検証結果（fmt / validate / plan / dupe-check の pass/fail）
+  5. **state 移行手順**（必要な場合は最重要事項として明示）
+  6. 残タスク 1-2 行
+
+## PR レポートのフォーマット
+
+````markdown
+# Infra Refactor PR Report
+
+- 採用レポート: report/INFRA_report_YYYYMMDD_HHMM.md
+- 実装ブランチ: <git branch>
+- 適用スコープ: <High のみ / 全部 など>
+
+## Summary
+- 何を変えたかを 3-5 行で要約（modules 化件数、variable 抽出件数、重複率の改善）
+
+## Applied Changes
+### High
+- [infra/...:line] 何を直したか。元レポートの指摘番号や見出しを引用。
+
+### Medium / Low
+- ...
+
+## Modules / Variable Changes
+### Modules 化
+- 新規 modules: `infra/modules/<name>/`
+- 置換した resource: [environments/<env>/main.tf:line]
+
+### Variable 抽出
+- [modules/<name>/variables.tf] 追加した variable と用途
+
+### Module 統合
+- 統合元: [modules/A], [modules/B]
+- 統合後: [modules/<merged>]
+
+## Structure Changes
+- 変更前 / 変更後のディレクトリ構成（変更があった場合のみ）
+
+```text
+infra/
+  modules/
+    ...
+  environments/
+    ...
+```
+
+## State Migration
+- **state 移行が必要な変更がある場合は必ずここに手順を明記**
+- 例:
+  ```bash
+  tofu -chdir=infra/environments/dev state mv \
+    google_cloud_run_service.app module.cloud_run.google_cloud_run_service.app
+  ```
+- 移行担当者の確認事項（apply タイミング、ロールバック手順）
+
+## Skipped
+- 採用しなかった指摘と理由
+
+## Validation
+- `make infra-fmt-check`: pass / fail
+- `make infra-validate`: pass / fail（各環境の結果）
+- `tofu plan` (各環境): 差分要約。意図しない再作成があれば抜粋
+- `make dupe-check`: 重複率 before / after（特に HCL の %）
+
+## Follow-ups
+- 次の PR で対応すべき項目（state 移行 PR の分割、別 modules 化など）
+````
+
+## 進め方の流れ（チェックリスト）
+
+1. 採用レポートを決定し、パスをユーザーへ提示
+2. Findings 集計を提示し、`AskUserQuestion` で適用スコープを選ばせる
+3. 採用項目を `TaskCreate` で 1 つずつ切る
+4. 各タスクを `in_progress` にして実装、終わったら `completed`
+5. `make infra-fmt-check` / `make infra-validate` / `make dupe-check` を回す
+6. state 影響があれば `tofu plan` で各環境確認
+7. fail / 意図しない差分があれば直す。pass まで PR レポートを書かない
+8. `report/INFRA_pr_<YYYYMMDD_HHMM>.md` を書く
+9. ターミナルにはパス・サマリ・state 移行手順を返す
diff --git a/.claude/skills/INFRA_refacter/SKILL.md b/.claude/skills/INFRA_refacter/SKILL.md
new file mode 100644
index 00000000..fa16b2a6
--- /dev/null
+++ b/.claude/skills/INFRA_refacter/SKILL.md
@@ -0,0 +1,182 @@
+---
+name: INFRA_refacter
+description: Use when reviewing or planning refactors for the DevForge infra (OpenTofu, modules/environments), especially HCL duplication across dev/stg/prod, modules 化候補, variable 抽出, environment 差分の整理, oversized resource block, responsibility separation. Trigger on requests such as "infra のリファクタリングを見て", "modules 化候補を出して", "dev/stg/prod の重複を見て", "infra の責務分離", "INFRA_refacter 実行".
+---
+
+# Infra Refactor Review (OpenTofu)
+
+DevForge の infra (`infra/modules/` `infra/environments/{dev,stg,prod}`) を対象にした保守性レビュー。
+
+`make dupe-check` の baseline では **HCL の重複率が 21.92% と全領域で最大**。本 skill はそれを構造的に解消する設計提案を出すために使う。
+
+## 先に読む
+
+- `.claude/CLAUDE.md`
+- `.claude/rules/infra/opentofu.md`
+- `.claude/rules/infra/test.md`
+- `.claude/rules/common/duplication.md`（DRY / 重複検知ポリシー）
+- `report/dupe/jscpd-report.json`（存在すれば infra 配下の clone を抽出）
+
+## 対象
+
+- `infra/modules/**`
+- `infra/environments/**`
+- 必要に応じて `flake.nix` の tofu バージョン、`.github/workflows/*.yml` の infra ジョブ、`docs/data-model.md` の Turso セクション
+
+## 成果物の出力先（必須）
+
+- 保存先: `report/INFRA_report_<YYYYMMDD_HHMM>.md`
+- 既存の `INFRA_report_*.md` は履歴として残す
+
+### ターミナルへの出力ルール
+
+- レポート本文を assistant メッセージへ貼らない
+- ターミナルには以下だけ返す:
+  1. 保存先パス
+  2. `Verdict` の 3-5 行サマリ
+  3. 次に取るべきアクション 1-2 行
+
+## 目的
+
+OpenTofu / Terraform の infra コードでは、「環境差分（dev/stg/prod）を表現するための重複」と「責務未分離による重複」を区別することが本質。本 skill は両者を切り分け、modules 化と variable 抽出の機会を可視化する。
+
+以下を区別する:
+
+- **正当な重複**: `terraform.tfvars` で env 別の値を渡しているだけの構成（HCL 構造は同じ、値だけが違う）
+- **責務未分離による重複**: 同じ resource block を 3 環境の `main.tf` にコピペしており、modules 化していれば 1 箇所で済むもの
+- **差分が小さい類似 modules**: ほぼ同じ内容の modules が 2 つ以上あり、variable で吸収できるもの
+- **不要な variable**: 全環境で同じ値が渡されている variable（環境差分が無いなら module 内ハードコードに戻すか定数化）
+
+## 調査の進め方
+
+### 1. インベントリ
+
+- `rg --files infra/ -t hcl -t terraform 2>/dev/null || find infra -name '*.tf' -o -name '*.tfvars'`
+- 各環境の `main.tf` 行数比較: `wc -l infra/environments/{dev,stg,prod}/*.tf`
+- modules の使われ方マッピング: `rg -n "^module " infra/environments/`
+- variable 一覧と参照状況: `rg -n "^variable " infra/modules/*/variables.tf`、`rg -n "var\.\w+" infra/modules/`
+
+`make dupe-check` の最新レポートから HCL の clone を抽出し、上位 N 件をピックアップする。
+
+### 2. 重複の分類（infra 特有）
+
+- **modules 化候補（High）**: 同じ resource block が 2 環境以上の `environments/<env>/main.tf` に存在
+- **variable 抽出候補（High）**: 既存 module の内部で「ほぼ同じだが値だけ違う」設定が分岐している
+- **module 統合候補（Medium）**: 2 つの module が ≥ 70% 同じ構造を持つ。差分は variable で吸収可能か検証
+- **不要 variable（Low）**: 全環境で同じ値の variable。module 内に固定値として戻す
+- **正当な重複（Allowed）**: HCL 構造的に共通、tfvars で env 別値を渡している既存パターン
+
+### 3. 責務未分離の検出
+
+以下のいずれかに当てはまれば責務分離候補:
+
+- 1 つの module が複数の責務（コンピュート + IAM + ネットワーク + モニタリング）を持つ
+- `environments/<env>/main.tf` の中で raw な resource ブロックがあり、modules を経由していない
+- module 内で `count` / `for_each` を駆使して大きく分岐しており、別 module に分けた方が見通しがよい
+- variable がフラットすぎる（`object({ ... })` で構造化すべきものが個別 variable に分解されている）
+
+サイズの目安（補助指標）:
+
+- 単一 module の `main.tf` が 300 行超で責務が複数
+- `environments/<env>/main.tf` が 200 行超
+- variable が 20 個超で構造化できそう
+
+### 4. 構造変更の提案
+
+提案するときは以下をセットで出す:
+
+- 何が今の重複・責務未分離か（具体的なパスと行）
+- どの resource block / variable を modules 化または抽出するか
+- 抽出後の `modules/<name>/` の構造（`main.tf` / `variables.tf` / `outputs.tf`）
+- environments 側の呼び出し例（`module "<name>" { source = "../../modules/<name>" ... }`）
+- 移行時の state 影響（`terraform state mv` が必要なら明記。`prevent_destroy` がついているリソースは特に注意）
+
+### 5. CI / デプロイへの影響
+
+modules を変更すると **全環境の validate が必要**（`.claude/rules/infra/test.md` 参照）。
+変更影響として以下を必ず記載する:
+
+- どの環境の validate が必要か（modules 変更 = 全環境）
+- `tofu plan` で意図しない差分（特に `-/+` 再作成）が出ないか
+- state 移行が必要な場合の手順
+
+## レビューの厳しさ
+
+- 「行が長いから modules 化」ではなく、「変更理由が複数領域に渡るから分割」で判断する
+- 「環境ごとにコピペがある」だけで modules 化を断定しない。**正当な環境差分（cloud_run のメモリ・min_instance 等）** は variable で吸収すべきで、modules 化は構造重複に限る
+- 「modules 統合できる」は弱い指摘。統合後に variable が爆発するなら現状維持
+
+## 推奨出力フォーマット
+
+下記テンプレートを `report/INFRA_report_<YYYYMMDD_HHMM>.md` に書き込む。
+
+````markdown
+# Infra Refactor Review
+
+## Verdict
+- infra 保守性の総評を 3-5 行で要約（HCL 重複率、modules 化機会、責務分離の状況）
+
+## Findings
+### High
+- [infra/environments/<env>/main.tf:line] 何が重複しているか / 責務が混ざっているか。どこに modules 化するか。
+
+### Medium
+- ...
+
+### Low
+- ...
+
+## Duplication Findings
+### Modules 化候補
+- [environments/dev/main.tf:line] ↔ [environments/stg/main.tf:line] ↔ [environments/prod/main.tf:line]
+  - 抽出先: `infra/modules/<new_name>/`
+  - variable 候補: <env 別に異なる値>
+  - state 影響: <あり / なし>
+
+### Variable 抽出候補
+- [modules/<name>/main.tf:line] ハードコードされている値。variable 化して env から渡す。
+
+### Module 統合候補
+- [modules/A] と [modules/B] が ≥ 70% 同構造。差分 X を variable 吸収して統合。
+
+### Allowed Duplication
+- [path] 環境差分を tfvars で吸収している正当な重複。記録のみ。
+
+## Structure Review
+### Oversized Modules
+- [path] 何の責務が混ざっているか。どう切るか。
+
+### Directory Changes
+- 提案する target 構成
+
+```text
+infra/
+  modules/
+    cloud_run/
+    artifact_registry/
+    ...
+  environments/
+    dev/
+    stg/
+    prod/
+```
+
+## Refactor Plan
+1. まずどの resource block を modules 化するか（PR 1）
+2. 次にどの variable を抽出 / 統合するか（PR 2）
+3. 最後に state 影響を伴う変更を分離（PR 3、`tofu plan` で必ず確認）
+
+## Validation
+- `make infra-fmt-check`
+- `make infra-validate`
+- `make dupe-check`
+- `tofu plan` の結果（state 影響がある場合）
+````
+
+## 最低限の検証コマンド
+
+- `make infra-fmt-check`
+- `make infra-validate`（dev/stg/prod 全環境。modules を触ったら必須）
+- `make dupe-check`（重複率 before/after の比較に使う）
+
+実装変更は `INFRA_apply` skill が担う。本 skill はレビューと提案までで止める。
diff --git a/.claude/skills/XR_apply/SKILL.md b/.claude/skills/XR_apply/SKILL.md
new file mode 100644
index 00000000..9ae5dd9c
--- /dev/null
+++ b/.claude/skills/XR_apply/SKILL.md
@@ -0,0 +1,182 @@
+---
+name: XR_apply
+description: Use when applying the cross-realm refactor plan produced by the XR_refacter skill. Reads `report/XR_report_<timestamp>.md` (latest by default, or a path passed as argument), confirms scope with the user, implements SSoT consolidation across backend / frontend / infra / docs in a single PR, runs the impacted validations, then writes a result report to `report/XR_pr_<timestamp>.md`. Trigger on requests such as "XR_apply 実行", "領域横断のリファクタを適用", "XR レポートの内容を実装", "BE/FE/infra の SSoT 統合を実装".
+---
+
+# Cross-Realm Refactor Apply
+
+`XR_refacter` skill が生成したレビュー (`report/XR_report_*.md`) を入力にして、領域跨ぎ (BE / FE / infra / docs) の SSoT 統合を **1 PR で扱う** ための skill。
+
+各領域単独の修正は `BE_apply` / `FE_apply` / `INFRA_apply` に委ねる。本 skill は「複数領域に同時に手を入れないと意味がない」変更だけを扱う。
+
+## 先に読む
+
+- `.claude/CLAUDE.md`
+- `.claude/skills/XR_refacter/SKILL.md`（出力フォーマットの参照元）
+- `.claude/rules/common/duplication.md`
+- `.claude/rules/backend/architecture.md`
+- `.claude/rules/frontend/architecture.md`
+- `.claude/rules/infra/opentofu.md`
+
+影響範囲に応じて backend/frontend/infra 各 rules も追加で読む。
+
+## 入力（対象レポートの選択）
+
+引数で明示パスが渡されていればそれを使う。なければ `report/XR_report_*.md` の中で最新（mtime 降順）を採用する。
+
+```bash
+/XR_apply report/XR_report_20260516_1042.md
+/XR_apply
+```
+
+最初に必ずユーザーへ「採用したレポートのパス」を 1 行返す。
+
+```text
+採用レポート: report/XR_report_20260516_1042.md
+```
+
+`report/` 配下に `XR_report_*.md` が無い場合は停止し、`/XR_refacter` の実行を促す。
+
+## 実装スコープの確認（必須）
+
+レポートを読み込んだら、SSoT Violations を High / Medium / Low の件数と Documentation Duplication の件数で集計してユーザーへ提示し、どこまで適用するかを **毎回必ず聞く**。勝手に全件着手してはいけない。
+
+提示例:
+
+```text
+採用レポート: report/XR_report_20260516_1042.md
+SSoT Violations: High 2 / Medium 4 / Low 3
+Documentation Duplication: 5
+Allowed Duplication: 7（記録のみ・実装変更なし）
+
+どこまで適用しますか？
+  1) High のみ
+  2) High + Medium
+  3) Documentation Duplication も含める
+  4) 全部
+  5) 個別に選ぶ（番号で指定）
+```
+
+`AskUserQuestion` で選ばせるのが望ましい。
+
+## 実装の進め方
+
+1. **タスク化**: 採用した各 SSoT Violation を `TaskCreate` で 1 タスクずつ切る。1 SSoT = 1 タスク（BE / FE / infra をまたいでも 1 タスクとして扱う）。
+2. **領域ごとの規約厳守**:
+   - backend: コメント・docstring 日本語、例外握りつぶし禁止
+   - frontend: コメント・JSDoc 日本語、any 禁止
+   - infra: modules の variable 化、env 別値は tfvars で
+3. **SSoT 統合パターン**:
+   - **環境変数名**: backend `settings.py` を正本に。infra の `cloud_run/main.tf` と `.github/workflows/ci.yml`、`docker-compose.yml` を順に書き換える。コメントで「正本: backend/app/core/settings.py の `Settings.XXX`」と明記
+   - **エラーコード**: backend `core/errors.py` の `ErrorCode` 列挙を正本に。frontend `utils/appError.ts` のマップを手で同期。OpenAPI codegen は本 PR の対象外（別 PR）
+   - **API パス**: frontend `api/<scope>.ts` に定数 `const ENDPOINTS = { ... }` を作り、コンポーネントからは定数経由でのみ参照させる
+   - **DTO**: backend が正本。frontend `types.ts` / `formTypes.ts` を手動同期し、対応コメントを残す
+   - **ドキュメント手順**: 正本に決めたファイルだけ残し、他は `> 手順は [<正本パス>](<相対 path>) を参照` の 1 行に置換
+4. **import / 参照パスの追従**: ファイル移動や定数化を含む場合、`rg` で全参照を洗ってから着手
+5. **コミット粒度**: SSoT 1 つ = 1 コミットを目安に。BE/FE/infra 同時変更が必要な場合でも、レビュアブルな単位に分ける
+
+## 検証（必須）
+
+実装した領域に応じて、該当する検証コマンドを **すべて** 回す。スキップ禁止。
+
+```bash
+# 影響範囲に応じて
+make lint-backend
+make test-backend
+make lint-frontend
+make test-frontend
+make build-frontend
+make infra-fmt-check
+make infra-validate
+make dupe-check
+```
+
+または一括:
+
+```bash
+make ci
+```
+
+sandbox が `~/.cache/nix/fetcher-locks/*.lock` で落ちる場合は `dangerouslyDisableSandbox: true` で再実行する（CLAUDE.md の既知の例外）。
+
+UI フローに影響する API 変更を含む場合は E2E も回す:
+
+```bash
+nix develop --command bash -c "cd frontend && npm run test:e2e"
+```
+
+検証 fail を残したまま PR レポートを書かない。`--no-verify` 等で hook を skip しない。
+
+## 成果物の出力先（必須）
+
+- 保存先: `report/XR_pr_<YYYYMMDD_HHMM>.md`
+- 既存 `XR_pr_*.md` は履歴として残す。上書き禁止
+- 採用元レポートのパスを冒頭に明記
+
+### ターミナルへの出力ルール
+
+- 詳細はファイルにだけ書く
+- ターミナルへ返すのは:
+  1. 採用レポートのパス
+  2. PR レポートのパス
+  3. `Summary` 3-5 行
+  4. 検証結果（領域ごとに pass / fail）
+  5. 残タスク 1-2 行
+
+## PR レポートのフォーマット
+
+````markdown
+# Cross-Realm Refactor PR Report
+
+- 採用レポート: report/XR_report_YYYYMMDD_HHMM.md
+- 実装ブランチ: <git branch>
+- 適用スコープ: <High のみ / 全部 など>
+
+## Summary
+- 何を SSoT として統合したかを 3-5 行で要約
+
+## SSoT Consolidations
+### High
+- **観点**: <env 名 / エラーコード / DTO / API パス>
+- **SSoT に据えた場所**: [path:line]
+- **更新した参照元**: [BE path], [FE path], [infra path]
+- **互換性配慮**: <旧定義の deprecation や PR 分割の有無>
+
+### Medium
+- ...
+
+### Low
+- ...
+
+## Documentation Consolidations
+- 正本: [path]
+- リンク参照に置換した箇所: [path1], [path2], ...
+
+## Skipped
+- 採用しなかった SSoT Violation と理由（影響範囲大、別 PR、自動生成導入待ちなど）
+
+## Validation
+- `make lint-backend`: pass / fail
+- `make test-backend`: pass / fail
+- `make lint-frontend`: pass / fail
+- `make test-frontend`: pass / fail
+- `make build-frontend`: pass / fail
+- `make infra-fmt-check` / `make infra-validate`: pass / fail
+- `make dupe-check`: 重複率の before / after
+- E2E: 実行有無と結果
+
+## Follow-ups
+- 次の PR で対応すべき項目（OpenAPI codegen 導入、別 SSoT 統合など）
+````
+
+## 進め方の流れ（チェックリスト）
+
+1. 採用レポートを決定し、パスをユーザーへ提示
+2. SSoT / Documentation 集計を提示し、`AskUserQuestion` で適用スコープを選ばせる
+3. 採用項目を `TaskCreate` で 1 つずつ切る
+4. 各タスクを `in_progress` にして実装、終わったら `completed`
+5. 影響範囲に応じた検証コマンドを全部回す
+6. `make dupe-check` で before/after の重複率を比較
+7. fail があれば直す。pass まで PR レポートを書かない
+8. `report/XR_pr_<YYYYMMDD_HHMM>.md` を書く
+9. ターミナルにはパスとサマリだけ返す
diff --git a/.claude/skills/XR_refacter/SKILL.md b/.claude/skills/XR_refacter/SKILL.md
new file mode 100644
index 00000000..c188305c
--- /dev/null
+++ b/.claude/skills/XR_refacter/SKILL.md
@@ -0,0 +1,164 @@
+---
+name: XR_refacter
+description: Use when reviewing duplication that crosses backend / frontend / infra boundaries — DTO 二重定義 (backend schemas ↔ frontend types), エラーコードの BE/FE 同期, 環境変数名の infra/backend/CI 散在, README/CLAUDE.md/docs の手順重複. Triggers: "領域横断の重複を見て", "BE と FE の DTO 重複", "infra と backend で env 名がズレてる", "XR_refacter 実行", "クロスリポ重複レビュー".
+---
+
+# Cross-Realm Refactor Review (BE ↔ FE ↔ infra ↔ docs)
+
+各領域内 (BE / FE / infra) の重複は `BE_refacter` / `FE_refacter` / `INFRA_refacter` が見る。
+この skill は **境界を跨ぐ重複だけ** に集中する。各領域内の問題は本 skill では扱わない。
+
+## 先に読む
+
+- `.claude/CLAUDE.md`
+- `.claude/rules/common/duplication.md`
+- `.claude/rules/backend/architecture.md`
+- `.claude/rules/frontend/architecture.md`
+- `.claude/rules/infra/opentofu.md`
+- `report/dupe/jscpd-report.json`（存在すれば）
+
+## 対象
+
+境界を跨ぐ重複として、以下を主な対象とする。
+
+| 観点 | BE 側 | FE 側 | infra/CI 側 |
+|---|---|---|---|
+| DTO / 型 | `backend/app/schemas/**` | `frontend/src/types.ts`, `formTypes.ts` | — |
+| エラーコード | `backend/app/core/errors.py` | `frontend/src/utils/appError.ts` | — |
+| API パス | `backend/app/routers/**` | `frontend/src/api/**` | — |
+| 環境変数名 | `backend/app/core/settings.py` | `frontend/.env*`, `vite.config.*` | `infra/modules/cloud_run/main.tf` の `env` ブロック、`.github/workflows/ci.yml`、`docker-compose.yml` |
+| 領域共通の値（region / image / project_id） | `core/settings.py` | — | `infra/environments/<env>/terraform.tfvars` |
+| 手順説明 | `backend/README.md` | `frontend/README.md` | `infra/README.md` |
+| プロジェクト概要 | — | — | `README.md`, `CLAUDE.md`, `AGENT.md`, `docs/**` |
+
+## 成果物の出力先（必須）
+
+- 保存先: `report/XR_report_<YYYYMMDD_HHMM>.md`
+  - 例: `report/XR_report_20260516_1042.md`
+  - `report/` が無ければ作成する (`mkdir -p report`)
+- 既存の `XR_report_*.md` は削除しない（履歴として残す）
+
+### ターミナルへの出力ルール
+
+- レポート本文を assistant メッセージへ貼らない
+- ターミナルには以下だけ返す:
+  1. 保存先パス
+  2. `Verdict` の 3-5 行サマリ
+  3. 次に取るべきアクション 1-2 行
+
+## 目的
+
+「同じ意味を持つ情報が複数領域に重複して定義されている」状態を可視化し、Single Source of Truth (SSoT) を決めて他領域からはそこを参照する設計に寄せる。
+領域跨ぎは「片方を変えてもう片方の変更を忘れる」のが最大のリスク。本 skill は **どの境界に SSoT 違反があるか** を明確にする。
+
+## 調査の進め方
+
+### 1. インベントリ収集
+
+最初に `make dupe-check` を sandbox 無効で実行し `report/dupe/jscpd-report.json` を最新化する。
+
+そのうえで以下を grep ベースで横断的に洗う:
+
+- DTO の二重定義
+  - `rg -n "class \w+\(BaseModel\)" backend/app/schemas/`
+  - `rg -n "^(export )?(interface|type) \w+" frontend/src/types.ts frontend/src/formTypes.ts`
+- API パスの散在
+  - `rg -n "['\"]/api/" frontend/src/api/`
+  - backend 側のパスは `routers/**` の `@router.<method>("/...")` を抽出
+- 環境変数名の散在
+  - `rg -n "os\.environ\[" backend/app/`
+  - `rg -n "VITE_\w+" frontend/`
+  - `rg -n "env\s*=\s*\[" infra/modules/`
+  - `.github/workflows/*.yml` の `env:` / `with:` ブロック
+- エラーコード
+  - `backend/app/core/errors.py` の `ErrorCode` enum
+  - `frontend/src/utils/appError.ts` のマップ定義
+- 手順書
+  - `README.md`, `CLAUDE.md`, `AGENT.md`, `docs/**`, `backend/README.md`, `frontend/README.md`, `infra/README.md` の見出し列を比較
+
+### 2. 重複の分類
+
+検出した重複を 3 つに分類する。
+
+- **SSoT 違反**（要修正）: 同じ意味の情報が複数領域に独立して定義されており、片方の変更で他方が壊れる
+  - 例: `User` DTO が backend と frontend で別個に定義され、フィールド追加時に同期忘れする
+  - 例: `TURSO_DATABASE_URL` という名前が `settings.py` / `cloud_run/main.tf` / `ci.yml` / `docker-compose.yml` に文字列で散在
+- **意図的な複製**（許容）: 言語境界やデプロイ境界で物理的に同期できないが、それぞれの正本がある
+  - 例: Pydantic schema と TypeScript interface（言語が違うので別定義は不可避、ただし生成元 OpenAPI など SSoT 経路は検討余地あり）
+  - 例: `terraform.tfvars` の env 別値（環境差分なので冗長ではない）
+- **記述の重複**（統合候補）: README や docs の手順説明が複数ファイルに同じ手順を貼り付けている
+  - 例: 「Nix devshell の入り方」を README.md と CLAUDE.md と docs/setup.md に貼っている
+  - → 正本を 1 つに決めて他はリンク参照に置き換える
+
+### 3. SSoT 候補の選定
+
+SSoT 違反に対して、どこを正本にするかを提案する:
+
+- **エラーコード**: `backend/app/core/errors.py` を正本とし、frontend は OpenAPI から型生成するか、enum を別途同期する運用ルールを明文化
+- **環境変数名**: `backend/app/core/settings.py` の `Settings` モデルのフィールド名を正本とし、infra / CI はそれを参照（コメントで対応関係を明記）
+- **API パス**: backend の router がパスの正本。frontend は API クライアントモジュール 1 箇所に定数化してから呼ぶ
+- **DTO**: 短期は backend `schemas/` を正本として frontend は手動同期、中期は OpenAPI → TypeScript 型生成パイプラインを検討
+
+### 4. 構造変更の提案
+
+提案するときは以下をセットで出す:
+
+- 現状の SSoT 違反箇所と影響範囲
+- どの領域を正本に据えるか
+- 他領域からの参照方法（手動同期 / 自動生成 / リンク）
+- 移行時の互換性配慮（旧定義削除のタイミング、PR 分割の単位）
+
+## レビューの厳しさ
+
+- 「形が似ている」だけで SSoT 違反と断定しない。**変更理由が同じ**ことを確認する
+- ドキュメント重複は「リンク参照に置換」だけで済む。コードと違って慎重になりすぎない
+- DTO 自動生成（OpenAPI codegen 等）は重い投資。現状の手動同期が破綻していない場合は提案を Medium / Low に留める
+
+## 推奨出力フォーマット
+
+下記テンプレートを `report/XR_report_<YYYYMMDD_HHMM>.md` に書き込む。
+
+````markdown
+# Cross-Realm Refactor Review
+
+## Verdict
+- 領域横断の重複の総評を 3-5 行で要約
+
+## SSoT Violations
+### High（即時対応推奨）
+- **観点**: <DTO / エラーコード / env 名 / API パス>
+- **重複箇所**: [BE path:line] ↔ [FE path:line] ↔ [infra path:line]
+- **リスク**: 何を変えると何が壊れるか
+- **提案する SSoT**: どこを正本にするか
+- **他領域の参照方法**: 手動同期 / 自動生成 / リンク参照
+
+### Medium
+- ...
+
+### Low
+- ...
+
+## Allowed Duplication
+- [path] 言語境界・物理境界で同期不可能なため許容する重複。記録のみ。
+
+## Documentation Duplication
+- [path1] と [path2] と [path3] に同じ手順 "<セクション名>" が貼られている。
+- 正本候補: <path>。他はリンク参照に置換。
+
+## Refactor Plan
+1. まずどの SSoT を確定するか
+2. 次にどの参照を置き換えるか（PR 単位の提案）
+3. 最後にどの検証を回すか（BE / FE / infra の影響範囲）
+
+## Validation
+- 実行したコマンド（`make dupe-check`, `make lint-backend`, `make lint-frontend`, `make infra-validate` など）
+- 未実行ならその理由
+````
+
+## 最低限の検証コマンド
+
+- `make dupe-check`（sandbox 無効化必要）
+- 影響範囲に応じて `make lint-backend` / `make lint-frontend` / `make infra-validate`
+- 構造提案だけの場合は実装変更が無いので、grep / find の結果と jscpd レポートの抜粋を Validation に記録する
+
+実装変更は `XR_apply` skill が担う。本 skill はレビューと提案までで止める。
diff --git a/.githooks/pre-push b/.githooks/pre-push
index 58536bdf..f269e23a 100755
--- a/.githooks/pre-push
+++ b/.githooks/pre-push
@@ -1,5 +1,6 @@
 #!/bin/sh
 
+# main / stg / dev への直接 push を禁止する
 while read -r local_ref local_sha remote_ref remote_sha
 do
   case "$remote_ref" in
@@ -11,4 +12,19 @@ do
   esac
 done
 
+# 重複検知（opt-in、デフォルト off）
+# 有効化: export DEVFORGE_PREPUSH_DUPE_CHECK=1
+# 警告のみで push をブロックしない。CI で artifact として確認可能。
+if [ "${DEVFORGE_PREPUSH_DUPE_CHECK:-0}" = "1" ]; then
+  echo "[pre-push] 重複検知を実行中 (warn-only)..."
+  if make dupe-check >/dev/null 2>&1; then
+    if [ -f report/dupe/jscpd-report.json ]; then
+      DUP_PERCENT=$(grep -o '"percentage":[[:space:]]*[0-9.]*' report/dupe/jscpd-report.json | head -1 | awk -F: '{gsub(/ /,""); print $2}')
+      [ -n "$DUP_PERCENT" ] && echo "[pre-push] 重複率: ${DUP_PERCENT}% (詳細: report/dupe/jscpd-report.md)"
+    fi
+  else
+    echo "[pre-push] dupe-check 失敗 (push は継続)"
+  fi
+fi
+
 exit 0
diff --git a/.github/workflows/ci.yml b/.github/workflows/ci.yml
index b9ddfbc1..bfbbe82e 100644
--- a/.github/workflows/ci.yml
+++ b/.github/workflows/ci.yml
@@ -28,6 +28,7 @@ jobs:
     timeout-minutes: 5
     outputs:
       app: ${{ steps.filter.outputs.app }}
+      dupe: ${{ steps.filter.outputs.dupe }}
 
     steps:
       - name: Checkout
@@ -45,6 +46,49 @@ jobs:
               - 'backend/**'
               - '.github/workflows/ci.yml'
               - 'frontend/wrangler.toml'
+            dupe:
+              - 'frontend/**'
+              - 'backend/**'
+              - 'infra/**'
+              - '.claude/**'
+              - 'docs/**'
+              - '.jscpd.json'
+              - 'README.md'
+              - 'AGENT.md'
+              - 'flake.nix'
+              - 'Makefile'
+
+  detect-duplication:
+    runs-on: ubuntu-latest
+    needs: detect-changes
+    timeout-minutes: 5
+    if: needs.detect-changes.outputs.dupe == 'true'
+    # Phase 3 初期は warn-only。baseline 取得後に continue-on-error: false へ切替予定。
+    continue-on-error: true
+
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v4
+        with:
+          fetch-depth: 0
+
+      - name: Setup Node.js
+        uses: actions/setup-node@v4
+        with:
+          node-version: "20"
+          cache: npm
+          cache-dependency-path: frontend/package-lock.json
+
+      - name: Run jscpd
+        run: npx --yes jscpd@4 --config .jscpd.json
+
+      - name: Upload duplication report
+        uses: actions/upload-artifact@v4
+        if: always()
+        with:
+          name: jscpd-report
+          path: report/dupe/
+          retention-days: 14
 
   test-frontend:
     runs-on: ubuntu-latest
diff --git a/.gitignore b/.gitignore
index 20e948a9..fdd510dd 100644
--- a/.gitignore
+++ b/.gitignore
@@ -44,6 +44,9 @@ backend/.env
 # Wrangler
 .wrangler/
 
+# AI レビュー出力（BE_refacter / FE_refacter skill が書き出す）
+report/
+
 # OS
 .DS_Store
 .direnv/
diff --git a/.jscpd.json b/.jscpd.json
new file mode 100644
index 00000000..f45e854f
--- /dev/null
+++ b/.jscpd.json
@@ -0,0 +1,54 @@
+{
+  "$schema": "https://raw.githubusercontent.com/kucherenko/jscpd/master/packages/jscpd/schema.json",
+  "threshold": 100,
+  "minTokens": 50,
+  "minLines": 5,
+  "maxLines": 1000,
+  "maxSize": "100kb",
+  "absolute": true,
+  "gitignore": true,
+  "format": [
+    "python",
+    "typescript",
+    "tsx",
+    "javascript",
+    "jsx",
+    "hcl",
+    "terraform",
+    "nix",
+    "markdown",
+    "yaml"
+  ],
+  "path": [
+    "backend/app",
+    "backend/tests",
+    "frontend/src",
+    "frontend/e2e",
+    "infra/modules",
+    "infra/environments",
+    "docs",
+    ".claude",
+    "README.md",
+    "AGENT.md",
+    "flake.nix",
+    "Makefile"
+  ],
+  "ignore": [
+    "**/node_modules/**",
+    "**/.venv/**",
+    "**/dist/**",
+    "**/.test-dist/**",
+    "**/__pycache__/**",
+    "backend/alembic_migrations/versions/**",
+    "frontend/src/**/*.test.{ts,tsx}",
+    "frontend/src/**/*.module.css",
+    "report/**",
+    "**/*.lock",
+    "**/*.snap"
+  ],
+  "reporters": ["json", "html", "markdown", "consoleFull"],
+  "output": "report/dupe",
+  "blame": false,
+  "silent": false,
+  "verbose": false
+}
diff --git a/Makefile b/Makefile
index 58e30cce..6ee74ec0 100644
--- a/Makefile
+++ b/Makefile
@@ -5,6 +5,7 @@
 	lint lint-backend lint-frontend lint-fix \
 	format format-check \
 	ci \
+	dupe-check dupe-check-html dupe-clean \
 	build-frontend build-backend deploy-frontend \
 	gen-redirects \
 	migrate migrate-create \
@@ -41,6 +42,11 @@ help:
 	@echo "  format            Prettier で整形"
 	@echo "  format-check      Prettier チェック"
 	@echo ""
+	@echo "コード重複検知 (jscpd)"
+	@echo "  dupe-check        重複検知を実行し report/dupe/ に JSON/HTML/Markdown を出力"
+	@echo "  dupe-check-html   同上 (HTML レポート出力後にパスを表示)"
+	@echo "  dupe-clean        report/dupe/ を削除"
+	@echo ""
 	@echo "ビルド"
 	@echo "  build-frontend    Vite ビルド"
 	@echo "  build-backend     Docker イメージビルド"
@@ -137,6 +143,22 @@ format:
 format-check:
 	cd frontend && npm run format:check
 
+# ------------------------------------------------------------------ #
+# コード重複検知 (jscpd)
+# ------------------------------------------------------------------ #
+
+# jscpd は npx 経由で実行する（devShell の nodejs_22 を利用）。
+# 設定は .jscpd.json、出力は report/dupe/。Phase 1 は warn-only（threshold=0）。
+dupe-check:
+	nix develop --command bash -c "mkdir -p report/dupe && npx --yes jscpd@4 --config .jscpd.json"
+
+dupe-check-html:
+	nix develop --command bash -c "mkdir -p report/dupe && npx --yes jscpd@4 --config .jscpd.json"
+	@echo "HTML レポート: report/dupe/html/index.html"
+
+dupe-clean:
+	rm -rf report/dupe
+
 # ------------------------------------------------------------------ #
 # ビルド
 # ------------------------------------------------------------------ #
diff --git a/backend/tests/services/tasks/test_handlers_failure.py b/backend/tests/services/tasks/test_handlers_failure.py
index 3674f918..431198ef 100644
--- a/backend/tests/services/tasks/test_handlers_failure.py
+++ b/backend/tests/services/tasks/test_handlers_failure.py
@@ -70,17 +70,35 @@ class TestCareerAnalysisHandlerFailures:
     """キャリア分析ハンドラの失敗パス。"""
 
     def test_missing_user_id_raises_non_retryable(self, db_session: Session) -> None:
-        """payload に user_id が無い → NonRetryableError。"""
+        """user_id のみ欠落 → NonRetryableError。
+
+        他の必須キー（record_id / target_position）は揃えた上で user_id だけ
+        外し、user_id 欠落の検知のみを単独で固定化する。
+        """
         handler = CareerAnalysisHandler()
         with pytest.raises(NonRetryableError):
-            _run(handler.run(db_session, payload={}))
+            _run(
+                handler.run(
+                    db_session,
+                    payload={"record_id": 1, "target_position": "Backend"},
+                )
+            )
 
     def test_missing_record_id_raises_non_retryable(self, db_session: Session) -> None:
-        """user_id だけで record_id が無い → NonRetryableError。"""
+        """record_id のみ欠落 → NonRetryableError。
+
+        user_id と target_position は揃えた上で record_id だけ外し、
+        record_id 欠落の検知のみを単独で固定化する。
+        """
         user = _make_user(db_session, "career-handler-no-record-id")
         handler = CareerAnalysisHandler()
         with pytest.raises(NonRetryableError):
-            _run(handler.run(db_session, payload={"user_id": user.id}))
+            _run(
+                handler.run(
+                    db_session,
+                    payload={"user_id": user.id, "target_position": "Backend"},
+                )
+            )
 
     def test_missing_record_raises_non_retryable(self, db_session: Session) -> None:
         """user_id / record_id はあるが CareerAnalysis が DB に無い → NonRetryableError。"""
diff --git a/frontend/src/hooks/useAuthSession.ts b/frontend/src/hooks/useAuthSession.ts
index db536aa4..9736f9fb 100644
--- a/frontend/src/hooks/useAuthSession.ts
+++ b/frontend/src/hooks/useAuthSession.ts
@@ -55,7 +55,13 @@ export function useAuthSession() {
     const params = new URLSearchParams(location.search);
     const error = params.get("github_error");
     if (error) {
-      navigate(location.pathname, { replace: true });
+      // ``github_error`` のみ取り除き、それ以外の query は残す。
+      params.delete("github_error");
+      const remaining = params.toString();
+      navigate(
+        `${location.pathname}${remaining ? `?${remaining}` : ""}`,
+        { replace: true },
+      );
       setGithubError(error);
     }
   }, [location.search, location.pathname, navigate]);
@@ -71,6 +77,11 @@ export function useAuthSession() {
       };
     }
 
+    // 公開パス → 保護パス遷移などで authLoading が false のまま
+    // 復元処理に入るとルートガードが先に走ってしまうため、
+    // 非同期復元前に必ず true に上げる。
+    setAuthLoading(true);
+
     (async () => {
       try {
         const currentUser = await getCurrentUser();
@@ -96,10 +107,17 @@ export function useAuthSession() {
   }, [user, location.pathname]);
 
   const handleLogout = async () => {
-    await logout();
-    sessionStorage.removeItem("auth_user");
-    justLoggedOut.current = true;
-    setUser(null);
+    try {
+      await logout();
+    } catch (error) {
+      // サーバ側ログアウトが失敗してもクライアント側のクリアは必ず実行する。
+      // 未捕捉の reject を残さないようログだけ出して握る。
+      console.warn("logout API 呼び出しに失敗しました（クライアント側はクリアします）", error);
+    } finally {
+      sessionStorage.removeItem("auth_user");
+      justLoggedOut.current = true;
+      setUser(null);
+    }
   };
 
   const handleLoginSuccess = (rawUser: { username: string; is_github_user: boolean }) => {
diff --git a/frontend/src/hooks/useBlogAccountManager.ts b/frontend/src/hooks/useBlogAccountManager.ts
index a7c3201c..e574c526 100644
--- a/frontend/src/hooks/useBlogAccountManager.ts
+++ b/frontend/src/hooks/useBlogAccountManager.ts
@@ -42,11 +42,25 @@ export function useBlogAccountManager(filter: "all" | "zenn" | "note" | "qiita")
   /** プラットフォーム別の進行中アクション。同時に複数プラットフォームを操作する余地を残す。 */
   const [actions, setActions] = useState<PlatformActionMap>({});
 
-  /** 指定プラットフォームのアクションをセット/解除する。 */
+  /**
+   * 指定プラットフォームのアクションをセット/解除する。
+   *
+   * クリア（``action === null``）時に ``expectedAction`` を指定すると、
+   * 現在のアクションが ``expectedAction`` と一致する場合のみ削除する。
+   * これにより、同一プラットフォームで先発アクションの finally が
+   * 後発アクションを clobber することを防ぐ。
+   */
   const setAction = useCallback(
-    (platform: PlatformKey, action: PlatformAction | null) => {
+    (
+      platform: PlatformKey,
+      action: PlatformAction | null,
+      expectedAction?: PlatformAction,
+    ) => {
       setActions((prev) => {
         if (action == null) {
+          if (expectedAction !== undefined && prev[platform] !== expectedAction) {
+            return prev;
+          }
           const next = { ...prev };
           delete next[platform];
           return next;
@@ -139,7 +153,7 @@ export function useBlogAccountManager(filter: "all" | "zenn" | "note" | "qiita")
     } catch (e) {
       setAccountError(e instanceof Error ? e.message : "アカウントの連携に失敗しました");
     } finally {
-      setAction(platform, null);
+      setAction(platform, null, "saving");
     }
   };
 
@@ -161,7 +175,7 @@ export function useBlogAccountManager(filter: "all" | "zenn" | "note" | "qiita")
     } catch (e) {
       setAccountError(e instanceof Error ? e.message : "同期に失敗しました");
     } finally {
-      setAction(platform, null);
+      setAction(platform, null, "syncing");
     }
   };
 
@@ -181,7 +195,7 @@ export function useBlogAccountManager(filter: "all" | "zenn" | "note" | "qiita")
     } catch (e) {
       setAccountError(e instanceof Error ? e.message : "アカウントの解除に失敗しました");
     } finally {
-      setAction(platform, null);
+      setAction(platform, null, "deleting");
     }
   };
 
@@ -211,7 +225,7 @@ export function useBlogAccountManager(filter: "all" | "zenn" | "note" | "qiita")
       setAccountError(e instanceof Error ? e.message : "usernameの更新に失敗しました");
       return false;
     } finally {
-      setAction(platform, null);
+      setAction(platform, null, "updating");
     }
   };
 

From aac71d5b03561118ac3310645b701b48dc79cd95 Mon Sep 17 00:00:00 2001
From: Wada Yusuke <yusuketenpa12345@gmail.com>
Date: Sun, 17 May 2026 06:43:25 +0900
Subject: [PATCH 2/3] infra ssot dry fix

---
 .claude/CLAUDE.md                         |  41 +++-----
 .github/workflows/ci.yml                  |  30 +++---
 .jscpd.json                               |   4 +-
 backend/app/core/encryption.py            |   4 +-
 backend/app/core/env_keys.py              |  95 +++++++++++++++++
 backend/app/core/errors.py                |  13 +++
 backend/app/core/redis_client.py          |   6 +-
 backend/app/core/settings.py              |  42 ++++----
 backend/app/main.py                       |   3 +-
 backend/app/routers/internal.py           |   3 +-
 backend/app/services/tasks/cloud_tasks.py |  11 +-
 backend/app/services/tasks/factory.py     |   3 +-
 frontend/src/api/ai-resume.ts             |  17 +--
 frontend/src/api/auth.ts                  |   3 +-
 frontend/src/api/blog.ts                  |  24 ++---
 frontend/src/api/career-analysis.ts       |  13 +--
 frontend/src/api/client.ts                |   3 +-
 frontend/src/api/intelligence.ts          |  11 +-
 frontend/src/api/master-data.ts           |   5 +-
 frontend/src/api/notifications.ts         |   9 +-
 frontend/src/api/paths.ts                 |  79 ++++++++++++++
 frontend/src/api/resumes.ts               |  15 +--
 frontend/src/components/ui/ErrorToast.tsx |   3 +-
 frontend/src/constants/errorCodes.ts      |  43 ++++++++
 frontend/src/constants/errorMessages.ts   |  11 +-
 infra/environments/dev/main.tf            |  88 +++++-----------
 infra/modules/devforge_stack/main.tf      | 102 ++++++++++++++++++
 infra/modules/devforge_stack/outputs.tf   |  24 +++++
 infra/modules/devforge_stack/variables.tf | 121 ++++++++++++++++++++++
 29 files changed, 644 insertions(+), 182 deletions(-)
 create mode 100644 backend/app/core/env_keys.py
 create mode 100644 frontend/src/api/paths.ts
 create mode 100644 frontend/src/constants/errorCodes.ts
 create mode 100644 infra/modules/devforge_stack/main.tf
 create mode 100644 infra/modules/devforge_stack/outputs.tf
 create mode 100644 infra/modules/devforge_stack/variables.tf

diff --git a/.claude/CLAUDE.md b/.claude/CLAUDE.md
index 49e90f20..9f3a1dfc 100644
--- a/.claude/CLAUDE.md
+++ b/.claude/CLAUDE.md
@@ -11,7 +11,7 @@
 
 ### 第一選択: `make` ターゲット
 
-Makefile は `nix develop --command bash -c "..."` でラップ済み。AI は基本これを使う。
+Makefile は `nix develop --command bash -c "..."` でラップ済み。AI は基本これを使う。**最新の一覧と詳細は `make help`** で確認する（本表は AI が即時参照する代表的なターゲットのみ）。
 
 | 用途 | コマンド |
 |---|---|
@@ -25,6 +25,8 @@ Makefile は `nix develop --command bash -c "..."` でラップ済み。AI は
 | インフラ validate | `make infra-validate` |
 | コード重複検知 | `make dupe-check` （結果: `report/dupe/jscpd-report.json`） |
 
+セットアップ詳細・各コマンドの目的は `docs/development.md` を参照。
+
 ### 第二選択: `nix develop --command` ラッパー
 
 make に無い操作（特定ファイルだけ ruff したい等）の場合のみ使う:
@@ -66,12 +68,10 @@ error: opening lock file "~/.cache/nix/fetcher-locks/...lock": Operation not per
 ```bash
 # 一括（最速・推奨）
 make ci
-
-# 個別
-make lint-backend && make test-backend
-make lint-frontend && make test-frontend && make build-frontend
 ```
 
+詳細なローカル CI 手順・個別コマンドは `docs/development.md`「テスト・リント」セクションを参照。
+
 ### E2E テストのトリガー
 
 以下のいずれかに該当する変更を行った場合、E2E を必ず実行する:
@@ -107,32 +107,15 @@ CI 定義: `.github/workflows/ci.yml`
 
 > `rirekisho` は日本語ローマ字のため cSpell の警告が出るが無視してよい。
 
-## 環境変数（必須）
-
-```
-TURSO_DATABASE_URL   # Turso (libSQL) 接続 URL。ローカル: http://127.0.0.1:8080（turso dev）/ 本番: libsql://<db>.turso.io
-TURSO_AUTH_TOKEN     # Turso 認証トークン（Cloud Run では Secret Manager から注入）
-JWT_PRIVATE_KEY      # RS256署名用秘密鍵（PEM形式）
-JWT_PUBLIC_KEY       # RS256検証用公開鍵（PEM形式）
-FIELD_ENCRYPTION_KEY # Fernet鍵
-ADMIN_TOKEN          # 管理者操作用トークン
-CORS_ORIGINS         # 例: https://devforge-dev.example.com
-COOKIE_SECURE        # 例: true
-COOKIE_SAMESITE      # lax / strict / none
-INTERNAL_SECRET      # Cloudflare Pages → Cloud Run 間の秘密ヘッダー値（local 環境では省略可）
-```
+## 環境変数
 
-### オプション
+**正本**:
+- 環境変数名の定数定義: `backend/app/core/env_keys.py`
+- 用途と注入経路の一覧: `docs/api.md`「環境変数」セクション
+- 本番（Cloud Run）の env block: `infra/modules/cloud_run/main.tf`
+- ローカル開発の env: `docker-compose.yml`
 
-```
-GITHUB_CLIENT_ID     # GitHub OAuth Client ID
-GITHUB_CLIENT_SECRET # GitHub OAuth Client Secret
-CALLBACK_BASE_URL    # GitHub OAuth redirect_uri のベース URL（例: https://app.devforge.app）。未設定時は x-forwarded-host から自動検出
-LLM_PROVIDER         # ollama / vertex
-VERTEX_PROJECT_ID    # Vertex AI 用
-VERTEX_LOCATION      # 例: asia-northeast1
-VERTEX_MODEL         # 例: gemini-2.5-flash-lite
-```
+backend 内で `os.getenv("XXX")` のように文字列リテラル直接参照は禁止。`from app.core import env_keys` した上で `os.getenv(env_keys.XXX)` を使う。新規環境変数を追加するときは env_keys.py のコメントに記載の手順（4 箇所同期）を必ず実行する。
 
 ## ADR（Architecture Decision Record）
 
diff --git a/.github/workflows/ci.yml b/.github/workflows/ci.yml
index bfbbe82e..37c4caa1 100644
--- a/.github/workflows/ci.yml
+++ b/.github/workflows/ci.yml
@@ -274,10 +274,12 @@ jobs:
       (needs.test-backend.result == 'success' || needs.test-backend.result == 'skipped')
     timeout-minutes: 20
     env:
-      PROJECT_ID: devforge-dev-20260311
-      REGION: asia-northeast1
-      REPO: devforge-dev
-      SERVICE: devforge-dev
+      # 値は GitHub Repo Variables / Secrets で上書き可能。未設定時は既存値にフォールバック。
+      # 正本: infra/environments/dev/terraform.tfvars の project_id / stack_name
+      PROJECT_ID: ${{ vars.GCP_PROJECT_ID_DEV || 'devforge-dev-20260311' }}
+      REGION: ${{ vars.GCP_REGION || 'asia-northeast1' }}
+      REPO: ${{ vars.GCP_ARTIFACT_REPO_DEV || 'devforge-dev' }}
+      SERVICE: ${{ vars.CLOUD_RUN_SERVICE_DEV || 'devforge-dev' }}
 
     steps:
       - name: Checkout
@@ -373,10 +375,12 @@ jobs:
       (needs.test-backend.result == 'success' || needs.test-backend.result == 'skipped')
     timeout-minutes: 20
     env:
-      PROJECT_ID: devforge-stg-20260404
-      REGION: asia-northeast1
-      REPO: devforge-stg
-      SERVICE: devforge-stg
+      # 値は GitHub Repo Variables / Secrets で上書き可能。未設定時は既存値にフォールバック。
+      # 正本: infra/environments/stg/terraform.tfvars の project_id / stack_name
+      PROJECT_ID: ${{ vars.GCP_PROJECT_ID_STG || 'devforge-stg-20260404' }}
+      REGION: ${{ vars.GCP_REGION || 'asia-northeast1' }}
+      REPO: ${{ vars.GCP_ARTIFACT_REPO_STG || 'devforge-stg' }}
+      SERVICE: ${{ vars.CLOUD_RUN_SERVICE_STG || 'devforge-stg' }}
 
     steps:
       - name: Checkout
@@ -472,10 +476,12 @@ jobs:
       (needs.test-backend.result == 'success' || needs.test-backend.result == 'skipped')
     timeout-minutes: 20
     env:
-      PROJECT_ID: devforge-prod-20260404
-      REGION: asia-northeast1
-      REPO: devforge-prod
-      SERVICE: devforge-prod
+      # 値は GitHub Repo Variables / Secrets で上書き可能。未設定時は既存値にフォールバック。
+      # 正本: infra/environments/prod/terraform.tfvars の project_id / stack_name
+      PROJECT_ID: ${{ vars.GCP_PROJECT_ID_PROD || 'devforge-prod-20260404' }}
+      REGION: ${{ vars.GCP_REGION || 'asia-northeast1' }}
+      REPO: ${{ vars.GCP_ARTIFACT_REPO_PROD || 'devforge-prod' }}
+      SERVICE: ${{ vars.CLOUD_RUN_SERVICE_PROD || 'devforge-prod' }}
 
     steps:
       - name: Checkout
diff --git a/.jscpd.json b/.jscpd.json
index f45e854f..0aba212e 100644
--- a/.jscpd.json
+++ b/.jscpd.json
@@ -44,7 +44,9 @@
     "frontend/src/**/*.module.css",
     "report/**",
     "**/*.lock",
-    "**/*.snap"
+    "**/*.snap",
+    "**/.terraform.lock.hcl",
+    "**/.terraform/**"
   ],
   "reporters": ["json", "html", "markdown", "consoleFull"],
   "output": "report/dupe",
diff --git a/backend/app/core/encryption.py b/backend/app/core/encryption.py
index 8cc43dac..db2eb9b7 100644
--- a/backend/app/core/encryption.py
+++ b/backend/app/core/encryption.py
@@ -2,9 +2,11 @@
 
 from cryptography.fernet import Fernet
 
+from . import env_keys
+
 
 def _get_fernet() -> Fernet:
-    key = os.getenv("FIELD_ENCRYPTION_KEY", "").strip()
+    key = os.getenv(env_keys.FIELD_ENCRYPTION_KEY, "").strip()
     if not key:
         raise RuntimeError("FIELD_ENCRYPTION_KEY is not configured")
     return Fernet(key.encode())
diff --git a/backend/app/core/env_keys.py b/backend/app/core/env_keys.py
new file mode 100644
index 00000000..413657eb
--- /dev/null
+++ b/backend/app/core/env_keys.py
@@ -0,0 +1,95 @@
+"""環境変数名の SSoT 定義モジュール。
+
+本モジュールは backend / infra / CI / docker-compose を跨いで使われる
+環境変数名（文字列リテラル）を Python 定数として集約する。
+
+## SSoT 違反の背景
+
+同じ環境変数名（例: `TURSO_DATABASE_URL`）が以下 4 箇所にリテラルとして
+独立に書かれており、rename 時に同期忘れの事故が起きやすい状態だった:
+
+- `backend/app/core/**` の `os.getenv("XXX", ...)`
+- `infra/modules/cloud_run/main.tf` の env block
+- `.github/workflows/ci.yml` の env / with ブロック
+- `docker-compose.yml` の environment ブロック
+
+## 運用ルール
+
+- backend 内では本モジュールの定数を参照する（`os.getenv("XXX")` ではなく `os.getenv(env_keys.XXX)`）
+- 新規環境変数を追加する場合は、まず本モジュールに定数を追加する
+- 環境変数名を rename する場合:
+  1. 本モジュールの定数値を更新
+  2. `infra/modules/cloud_run/main.tf` の env block を追従
+  3. `.github/workflows/ci.yml` の env / secrets 参照を追従
+  4. `docker-compose.yml` の environment ブロックを追従
+  5. `docs/api.md` の環境変数表を更新
+
+## 関連ドキュメント
+
+- 環境変数一覧と用途: `docs/api.md`「環境変数」セクション
+- インフラでの注入経路: `infra/modules/cloud_run/main.tf`
+- ローカル開発での注入経路: `docker-compose.yml`
+"""
+
+# --- Turso (libSQL) ---
+
+TURSO_DATABASE_URL = "TURSO_DATABASE_URL"
+TURSO_AUTH_TOKEN = "TURSO_AUTH_TOKEN"
+
+# --- 認証 / Cookie / CORS ---
+
+ADMIN_TOKEN = "ADMIN_TOKEN"
+JWT_PRIVATE_KEY = "JWT_PRIVATE_KEY"
+JWT_PUBLIC_KEY = "JWT_PUBLIC_KEY"
+COOKIE_SECURE = "COOKIE_SECURE"
+COOKIE_SAMESITE = "COOKIE_SAMESITE"
+CORS_ORIGINS = "CORS_ORIGINS"
+
+# --- 暗号化 ---
+
+FIELD_ENCRYPTION_KEY = "FIELD_ENCRYPTION_KEY"
+
+# --- GitHub OAuth ---
+
+GITHUB_CLIENT_ID = "GITHUB_CLIENT_ID"
+GITHUB_CLIENT_SECRET = "GITHUB_CLIENT_SECRET"
+CALLBACK_BASE_URL = "CALLBACK_BASE_URL"
+
+# --- Cloudflare Pages → Cloud Run 連携 ---
+
+INTERNAL_SECRET = "INTERNAL_SECRET"
+
+# --- アプリケーション識別 ---
+
+APP_VERSION = "APP_VERSION"
+ENVIRONMENT = "ENVIRONMENT"
+
+# --- LLM ---
+
+LLM_PROVIDER = "LLM_PROVIDER"
+VERTEX_PROJECT_ID = "VERTEX_PROJECT_ID"
+VERTEX_LOCATION = "VERTEX_LOCATION"
+VERTEX_MODEL = "VERTEX_MODEL"
+
+# --- 非同期タスク（Cloud Tasks / Local BackgroundTasks） ---
+
+TASK_RUNNER = "TASK_RUNNER"
+GCP_PROJECT_ID = "GCP_PROJECT_ID"
+CLOUD_TASKS_QUEUE = "CLOUD_TASKS_QUEUE"
+CLOUD_TASKS_LOCATION = "CLOUD_TASKS_LOCATION"
+CLOUD_TASKS_SERVICE_URL = "CLOUD_TASKS_SERVICE_URL"
+CLOUD_TASKS_SERVICE_ACCOUNT = "CLOUD_TASKS_SERVICE_ACCOUNT"
+
+# --- Upstash Redis ---
+
+UPSTASH_REDIS_URL = "UPSTASH_REDIS_URL"
+UPSTASH_REDIS_TOKEN = "UPSTASH_REDIS_TOKEN"
+
+# --- ログ ---
+
+LOG_FORMAT = "LOG_FORMAT"
+LOG_LEVEL = "LOG_LEVEL"
+
+# --- アプリ起動制御 ---
+
+APP_BOOTSTRAPPED = "APP_BOOTSTRAPPED"
diff --git a/backend/app/core/errors.py b/backend/app/core/errors.py
index a86f6791..bc182bef 100644
--- a/backend/app/core/errors.py
+++ b/backend/app/core/errors.py
@@ -7,6 +7,19 @@
 
 
 class ErrorCode(str, Enum):
+    """API エラーレスポンスの共通エラーコード。
+
+    本 enum は FE 側の ``frontend/src/constants/errorCodes.ts:ERROR_CODES`` および
+    ``frontend/src/constants/errorMessages.ts:ERROR_CONFIG`` のキー集合と一致させること。
+    片方だけ変更すると FE 側で ``INTERNAL_ERROR`` にサイレント fallback して
+    適切なメッセージと recovery action が表示されなくなる。
+
+    新しいコードを追加する手順:
+      1. 本 enum に値を追加
+      2. ``frontend/src/constants/errorCodes.ts:ERROR_CODES`` に文字列を追加
+      3. ``frontend/src/constants/errorMessages.ts:ERROR_CONFIG`` にメッセージと recovery を追加
+    """
+
     # 認証
     AUTH_EXPIRED = "AUTH_EXPIRED"
     AUTH_REQUIRED = "AUTH_REQUIRED"
diff --git a/backend/app/core/redis_client.py b/backend/app/core/redis_client.py
index 6132ff0f..ee8db6a9 100644
--- a/backend/app/core/redis_client.py
+++ b/backend/app/core/redis_client.py
@@ -3,6 +3,8 @@
 import logging
 import os
 
+from . import env_keys
+
 logger = logging.getLogger(__name__)
 
 # モジュールレベルのシングルトン（初回呼び出し時に初期化）
@@ -21,8 +23,8 @@ def get_redis_client():
         return _client
 
     _initialized = True
-    url = os.getenv("UPSTASH_REDIS_URL", "").strip()
-    token = os.getenv("UPSTASH_REDIS_TOKEN", "").strip()
+    url = os.getenv(env_keys.UPSTASH_REDIS_URL, "").strip()
+    token = os.getenv(env_keys.UPSTASH_REDIS_TOKEN, "").strip()
 
     if not url:
         return None
diff --git a/backend/app/core/settings.py b/backend/app/core/settings.py
index 307f1c10..f9372f68 100644
--- a/backend/app/core/settings.py
+++ b/backend/app/core/settings.py
@@ -1,6 +1,8 @@
 import os
 from urllib.parse import urlparse
 
+from . import env_keys
+
 # --- Turso (libSQL) ---
 
 
@@ -12,12 +14,12 @@ def get_turso_database_url() -> str:
       - `libsql://<db>.turso.io` : Turso Cloud
       - `file:./local.sqlite` または絶対パス : ローカルファイル（テスト用途）
     """
-    return os.getenv("TURSO_DATABASE_URL", "").strip()
+    return os.getenv(env_keys.TURSO_DATABASE_URL, "").strip()
 
 
 def get_turso_auth_token() -> str:
     """Turso 認証トークン（Cloud 用）。turso dev では空でよい。"""
-    return os.getenv("TURSO_AUTH_TOKEN", "").strip()
+    return os.getenv(env_keys.TURSO_AUTH_TOKEN, "").strip()
 
 
 def build_sqlalchemy_database_url() -> str:
@@ -76,12 +78,12 @@ def _is_loopback_origin(origin: str) -> bool:
 
 
 def get_cors_origins() -> list[str]:
-    cors_origins = os.getenv("CORS_ORIGINS", "")
+    cors_origins = os.getenv(env_keys.CORS_ORIGINS, "")
     return [origin.strip() for origin in cors_origins.split(",") if origin.strip()]
 
 
 def get_cookie_secure() -> bool:
-    configured = _parse_bool_env("COOKIE_SECURE")
+    configured = _parse_bool_env(env_keys.COOKIE_SECURE)
     if configured is not None:
         return configured
 
@@ -97,19 +99,19 @@ def get_cookie_samesite() -> str:
     if origins and not all(_is_loopback_origin(origin) for origin in origins):
         default = "none"
 
-    value = os.getenv("COOKIE_SAMESITE", default).strip().lower()
+    value = os.getenv(env_keys.COOKIE_SAMESITE, default).strip().lower()
     if value not in {"lax", "strict", "none"}:
         raise RuntimeError("COOKIE_SAMESITE must be one of: lax, strict, none")
     return value
 
 
 def get_admin_token() -> str:
-    return os.getenv("ADMIN_TOKEN", "").strip()
+    return os.getenv(env_keys.ADMIN_TOKEN, "").strip()
 
 
 def get_jwt_private_key() -> str:
     """RS256署名用秘密鍵（PEM形式）を取得する。"""
-    key = os.getenv("JWT_PRIVATE_KEY", "").replace("\\n", "\n").strip()
+    key = os.getenv(env_keys.JWT_PRIVATE_KEY, "").replace("\\n", "\n").strip()
     if not key:
         raise RuntimeError("JWT_PRIVATE_KEY is not configured")
     return key
@@ -117,7 +119,7 @@ def get_jwt_private_key() -> str:
 
 def get_jwt_public_key() -> str:
     """RS256検証用公開鍵（PEM形式）を取得する。"""
-    key = os.getenv("JWT_PUBLIC_KEY", "").replace("\\n", "\n").strip()
+    key = os.getenv(env_keys.JWT_PUBLIC_KEY, "").replace("\\n", "\n").strip()
     if not key:
         raise RuntimeError("JWT_PUBLIC_KEY is not configured")
     return key
@@ -130,26 +132,26 @@ def get_callback_base_url() -> str:
     CALLBACK_BASE_URL に Cloudflare Pages の URL（例: https://app.devforge.app）を明示することで
     redirect_uri を固定できる。空の場合は呼び出し元が build_external_base_url にフォールバックする。
     """
-    url = os.getenv("CALLBACK_BASE_URL", "").strip()
+    url = os.getenv(env_keys.CALLBACK_BASE_URL, "").strip()
     return url.rstrip("/") if url else ""
 
 
 def get_github_client_id() -> str:
-    return os.getenv("GITHUB_CLIENT_ID", "").strip()
+    return os.getenv(env_keys.GITHUB_CLIENT_ID, "").strip()
 
 
 def get_github_client_secret() -> str:
-    return os.getenv("GITHUB_CLIENT_SECRET", "").strip()
+    return os.getenv(env_keys.GITHUB_CLIENT_SECRET, "").strip()
 
 
 def get_app_version() -> str:
     """アプリケーションバージョンを取得する（Git タグから CI で注入）。"""
-    return os.getenv("APP_VERSION", "dev").strip()
+    return os.getenv(env_keys.APP_VERSION, "dev").strip()
 
 
 def get_environment() -> str:
     """実行環境を取得する（local / dev / stg / prod）。"""
-    return os.getenv("ENVIRONMENT", "local").strip()
+    return os.getenv(env_keys.ENVIRONMENT, "local").strip()
 
 
 def get_internal_secret() -> str:
@@ -159,7 +161,7 @@ def get_internal_secret() -> str:
     値はログや例外メッセージに含めないこと。
     """
     env = get_environment()
-    secret = os.getenv("INTERNAL_SECRET", "").strip()
+    secret = os.getenv(env_keys.INTERNAL_SECRET, "").strip()
     if env != "local" and not secret:
         raise RuntimeError(
             "INTERNAL_SECRET が設定されていません。"
@@ -169,27 +171,27 @@ def get_internal_secret() -> str:
 
 
 def get_llm_provider() -> str:
-    return os.environ.get("LLM_PROVIDER", "ollama")
+    return os.environ.get(env_keys.LLM_PROVIDER, "ollama")
 
 
 def get_vertex_project_id() -> str:
-    return os.environ.get("VERTEX_PROJECT_ID", "")
+    return os.environ.get(env_keys.VERTEX_PROJECT_ID, "")
 
 
 def get_vertex_location() -> str:
-    return os.environ.get("VERTEX_LOCATION", "asia-northeast1")
+    return os.environ.get(env_keys.VERTEX_LOCATION, "asia-northeast1")
 
 
 def get_vertex_model(default: str) -> str:
     """Vertex AI のモデル名を取得する。default は呼び出し元（Vertex クライアント）の既定値を渡す。"""
-    return os.environ.get("VERTEX_MODEL", default)
+    return os.environ.get(env_keys.VERTEX_MODEL, default)
 
 
 def get_log_format() -> str:
     """ログフォーマット指定（json / text / 空）を小文字で取得する。"""
-    return os.getenv("LOG_FORMAT", "").strip().lower()
+    return os.getenv(env_keys.LOG_FORMAT, "").strip().lower()
 
 
 def get_log_level() -> str:
     """ログレベル名（DEBUG / INFO / WARNING / ERROR / CRITICAL）を大文字で取得する。"""
-    return os.getenv("LOG_LEVEL", "INFO").strip().upper()
+    return os.getenv(env_keys.LOG_LEVEL, "INFO").strip().upper()
diff --git a/backend/app/main.py b/backend/app/main.py
index 29219a05..dede70b2 100644
--- a/backend/app/main.py
+++ b/backend/app/main.py
@@ -14,6 +14,7 @@
 from slowapi.middleware import SlowAPIMiddleware  # noqa: E402
 from starlette.middleware.base import BaseHTTPMiddleware  # noqa: E402
 
+from .core import env_keys  # noqa: E402
 from .core.errors import (  # noqa: E402
     ErrorCode,
     build_app_error_response,
@@ -44,7 +45,7 @@
 async def lifespan(_: FastAPI):
     setup_logging()
     load_messages()
-    if os.getenv("APP_BOOTSTRAPPED", "0") != "1":
+    if os.getenv(env_keys.APP_BOOTSTRAPPED, "0") != "1":
         bootstrap()
     yield
 
diff --git a/backend/app/routers/internal.py b/backend/app/routers/internal.py
index ad37917c..944ee796 100644
--- a/backend/app/routers/internal.py
+++ b/backend/app/routers/internal.py
@@ -13,6 +13,7 @@
 
 from fastapi import APIRouter, HTTPException, Request
 
+from ..core import env_keys
 from ..core.messages import get_error
 from ..services.tasks.base import TaskType
 from ..services.tasks.exceptions import NonRetryableError, RetryableError
@@ -29,7 +30,7 @@ def _verify_request(request: Request) -> bool:
     TASK_RUNNER=cloud_tasks の場合のみ X-CloudTasks-QueueName ヘッダーを必須とする。
     未設定（空文字含む）はローカル／テスト環境とみなし無条件で許可する。
     """
-    if os.environ.get("TASK_RUNNER", "").strip() != "cloud_tasks":
+    if os.environ.get(env_keys.TASK_RUNNER, "").strip() != "cloud_tasks":
         return True
     queue_name = request.headers.get("X-CloudTasks-QueueName")
     return bool(queue_name)
diff --git a/backend/app/services/tasks/cloud_tasks.py b/backend/app/services/tasks/cloud_tasks.py
index cbd2f4dc..275955cd 100644
--- a/backend/app/services/tasks/cloud_tasks.py
+++ b/backend/app/services/tasks/cloud_tasks.py
@@ -9,6 +9,7 @@
 
 from google.cloud import tasks_v2
 
+from ...core import env_keys
 from .base import TaskDispatcher, TaskType
 
 
@@ -18,12 +19,12 @@ class CloudTasksDispatcher(TaskDispatcher):
     def __init__(self):
         self._client = tasks_v2.CloudTasksClient()
         self._queue = self._client.queue_path(
-            os.environ["GCP_PROJECT_ID"],
-            os.environ.get("CLOUD_TASKS_LOCATION", "asia-northeast1"),
-            os.environ.get("CLOUD_TASKS_QUEUE", "devforge-ai-tasks"),
+            os.environ[env_keys.GCP_PROJECT_ID],
+            os.environ.get(env_keys.CLOUD_TASKS_LOCATION, "asia-northeast1"),
+            os.environ.get(env_keys.CLOUD_TASKS_QUEUE, "devforge-ai-tasks"),
         )
-        self._service_url = os.environ["CLOUD_TASKS_SERVICE_URL"]
-        self._service_account = os.environ.get("CLOUD_TASKS_SERVICE_ACCOUNT", "")
+        self._service_url = os.environ[env_keys.CLOUD_TASKS_SERVICE_URL]
+        self._service_account = os.environ.get(env_keys.CLOUD_TASKS_SERVICE_ACCOUNT, "")
 
     async def dispatch(self, task_type: TaskType, payload: dict) -> None:
         task = tasks_v2.Task(
diff --git a/backend/app/services/tasks/factory.py b/backend/app/services/tasks/factory.py
index 319870d8..760d8846 100644
--- a/backend/app/services/tasks/factory.py
+++ b/backend/app/services/tasks/factory.py
@@ -4,6 +4,7 @@
 
 from fastapi import BackgroundTasks
 
+from ...core import env_keys
 from .base import TaskDispatcher
 
 
@@ -15,7 +16,7 @@ def get_task_dispatcher(
     - ``"local"`` (デフォルト): LocalDispatcher（FastAPI BackgroundTasks）
     - ``"cloud_tasks"``: CloudTasksDispatcher（Google Cloud Tasks）
     """
-    runner = os.environ.get("TASK_RUNNER", "local")
+    runner = os.environ.get(env_keys.TASK_RUNNER, "local")
 
     if runner == "cloud_tasks":
         from .cloud_tasks import CloudTasksDispatcher
diff --git a/frontend/src/api/ai-resume.ts b/frontend/src/api/ai-resume.ts
index 896c542f..180f4cd3 100644
--- a/frontend/src/api/ai-resume.ts
+++ b/frontend/src/api/ai-resume.ts
@@ -1,5 +1,6 @@
 import { request } from "./client";
 import { downloadBlob } from "./download";
+import { PATHS } from "./paths";
 
 export interface SectionItem {
   original: string;
@@ -39,7 +40,7 @@ export interface AiResumeSnapshotUpdate {
 
 /** AI 強化版職務経歴書を生成する。 */
 export function generateAiResume(targetPosition: string): Promise<AiResumeSnapshot> {
-  return request<AiResumeSnapshot>("/api/ai-resume/generate", {
+  return request<AiResumeSnapshot>(PATHS.aiResume.generate, {
     method: "POST",
     body: JSON.stringify({ target_position: targetPosition }),
   });
@@ -47,17 +48,17 @@ export function generateAiResume(targetPosition: string): Promise<AiResumeSnapsh
 
 /** 全スナップショットを取得する。 */
 export function listSnapshots(): Promise<AiResumeSnapshot[]> {
-  return request<AiResumeSnapshot[]>("/api/ai-resume/snapshots");
+  return request<AiResumeSnapshot[]>(PATHS.aiResume.snapshots);
 }
 
 /** 指定 ID のスナップショットを取得する。 */
 export function getSnapshot(id: number): Promise<AiResumeSnapshot> {
-  return request<AiResumeSnapshot>(`/api/ai-resume/snapshots/${id}`);
+  return request<AiResumeSnapshot>(PATHS.aiResume.snapshotById(id));
 }
 
 /** セクション採用状態を更新する。 */
 export function updateSnapshot(id: number, body: AiResumeSnapshotUpdate): Promise<AiResumeSnapshot> {
-  return request<AiResumeSnapshot>(`/api/ai-resume/snapshots/${id}`, {
+  return request<AiResumeSnapshot>(PATHS.aiResume.snapshotById(id), {
     method: "PATCH",
     body: JSON.stringify(body),
   });
@@ -65,24 +66,24 @@ export function updateSnapshot(id: number, body: AiResumeSnapshotUpdate): Promis
 
 /** バージョンを確定する。 */
 export function finalizeSnapshot(id: number): Promise<AiResumeSnapshot> {
-  return request<AiResumeSnapshot>(`/api/ai-resume/snapshots/${id}/finalize`, {
+  return request<AiResumeSnapshot>(PATHS.aiResume.snapshotFinalize(id), {
     method: "POST",
   });
 }
 
 /** スナップショットを削除する。 */
 export function deleteSnapshot(id: number): Promise<void> {
-  return request<void>(`/api/ai-resume/snapshots/${id}`, {
+  return request<void>(PATHS.aiResume.snapshotById(id), {
     method: "DELETE",
   });
 }
 
 /** PDF をダウンロードする。 */
 export function downloadPdf(id: number): Promise<void> {
-  return downloadBlob(`/api/ai-resume/snapshots/${id}/pdf`, `ai_resume_${id}.pdf`);
+  return downloadBlob(PATHS.aiResume.snapshotPdf(id), `ai_resume_${id}.pdf`);
 }
 
 /** Markdown をダウンロードする。 */
 export function downloadMarkdown(id: number): Promise<void> {
-  return downloadBlob(`/api/ai-resume/snapshots/${id}/markdown`, `ai_resume_${id}.md`);
+  return downloadBlob(PATHS.aiResume.snapshotMarkdown(id), `ai_resume_${id}.md`);
 }
diff --git a/frontend/src/api/auth.ts b/frontend/src/api/auth.ts
index abed0c86..fee59ea9 100644
--- a/frontend/src/api/auth.ts
+++ b/frontend/src/api/auth.ts
@@ -1,4 +1,5 @@
 import { API_BASE_URL, request } from "./client";
+import { PATHS } from "./paths";
 
 type AuthResponse = { username: string; is_github_user: boolean };
 
@@ -16,7 +17,7 @@ export async function getCurrentUser(): Promise<AuthResponse | null> {
 }
 
 export async function handleGitHubCallback(code: string, state: string): Promise<AuthResponse> {
-  return request<AuthResponse>("/auth/github/callback", {
+  return request<AuthResponse>(PATHS.auth.githubCallback, {
     method: "POST",
     body: JSON.stringify({ code, state }),
   });
diff --git a/frontend/src/api/blog.ts b/frontend/src/api/blog.ts
index d33c5812..f45eb59b 100644
--- a/frontend/src/api/blog.ts
+++ b/frontend/src/api/blog.ts
@@ -1,4 +1,5 @@
 import { request } from "./client";
+import { PATHS } from "./paths";
 import type { BlogAccount, BlogArticle } from "../types";
 import type { TaskStatusResponse } from "./career-analysis";
 
@@ -32,7 +33,7 @@ export interface BlogSummaryResponse {
  * 連携アカウント一覧を取得する。
  */
 export function getBlogAccounts(): Promise<BlogAccount[]> {
-  return request<BlogAccount[]>("/api/blog/accounts");
+  return request<BlogAccount[]>(PATHS.blog.accounts);
 }
 
 /**
@@ -42,7 +43,7 @@ export function addBlogAccount(
   platform: "zenn" | "note" | "qiita",
   username: string,
 ): Promise<BlogAccount> {
-  return request<BlogAccount>("/api/blog/accounts", {
+  return request<BlogAccount>(PATHS.blog.accounts, {
     method: "POST",
     body: JSON.stringify({ platform, username }),
   });
@@ -55,7 +56,7 @@ export function updateBlogAccount(
   platform: "zenn" | "note" | "qiita",
   username: string,
 ): Promise<BlogAccount> {
-  return request<BlogAccount>(`/api/blog/accounts/${platform}`, {
+  return request<BlogAccount>(PATHS.blog.accountByPlatform(platform), {
     method: "PATCH",
     body: JSON.stringify({ username }),
   });
@@ -65,7 +66,7 @@ export function updateBlogAccount(
  * 連携アカウントを解除する。
  */
 export async function deleteBlogAccount(id: string): Promise<void> {
-  await request<void>(`/api/blog/accounts/${id}`, {
+  await request<void>(PATHS.blog.accountById(id), {
     method: "DELETE",
   });
 }
@@ -74,8 +75,7 @@ export async function deleteBlogAccount(id: string): Promise<void> {
  * DB の記事一覧を取得する。
  */
 export function getBlogArticles(platform?: string): Promise<BlogArticle[]> {
-  const query = platform ? `?platform=${platform}` : "";
-  return request<BlogArticle[]>(`/api/blog/articles${query}`);
+  return request<BlogArticle[]>(PATHS.blog.articles(platform));
 }
 
 /**
@@ -85,7 +85,7 @@ export function syncBlogAccount(
   accountId: string,
 ): Promise<{ synced_count: number; total_count: number }> {
   return request<{ synced_count: number; total_count: number }>(
-    `/api/blog/accounts/${accountId}/sync`,
+    PATHS.blog.accountSync(accountId),
     { method: "POST" },
   );
 }
@@ -95,7 +95,7 @@ export function syncBlogAccount(
  * 分析対象記事はサーバー側で DB から取得する。
  */
 export function summarizeBlogArticles(): Promise<BlogSummaryResponse> {
-  return request<BlogSummaryResponse>("/api/blog/summarize", { method: "POST" });
+  return request<BlogSummaryResponse>(PATHS.blog.summarize, { method: "POST" });
 }
 
 /**
@@ -103,26 +103,26 @@ export function summarizeBlogArticles(): Promise<BlogSummaryResponse> {
  * 分析対象記事はサーバー側で DB から取得する。
  */
 export function retrySummarizeBlogArticles(): Promise<BlogSummaryResponse> {
-  return request<BlogSummaryResponse>("/api/blog/summarize/retry", { method: "POST" });
+  return request<BlogSummaryResponse>(PATHS.blog.summarizeRetry, { method: "POST" });
 }
 
 /**
  * DB に保存されたブログ AI 分析結果を取得する。
  */
 export function getBlogSummaryCache(): Promise<BlogSummaryResponse> {
-  return request<BlogSummaryResponse>("/api/blog/summary-cache");
+  return request<BlogSummaryResponse>(PATHS.blog.summaryCache);
 }
 
 /**
  * サマリ生成ステータスを取得する（ポーリング用）。
  */
 export function getBlogSummaryCacheStatus(): Promise<TaskStatusResponse> {
-  return request<TaskStatusResponse>("/api/blog/summary-cache/status");
+  return request<TaskStatusResponse>(PATHS.blog.summaryCacheStatus);
 }
 
 /**
  * ブログスコアリング結果を取得する。
  */
 export function getBlogScore(): Promise<BlogScoreResponse> {
-  return request<BlogScoreResponse>("/api/blog/score");
+  return request<BlogScoreResponse>(PATHS.blog.score);
 }
diff --git a/frontend/src/api/career-analysis.ts b/frontend/src/api/career-analysis.ts
index 8a553f73..dff3a5e3 100644
--- a/frontend/src/api/career-analysis.ts
+++ b/frontend/src/api/career-analysis.ts
@@ -1,4 +1,5 @@
 import { request } from "./client";
+import { PATHS } from "./paths";
 
 /* ── 型定義 ──────────────────────────────────────────── */
 
@@ -64,7 +65,7 @@ export interface TaskStatusResponse {
 
 /** キャリアパス分析を開始する（202 非同期）。 */
 export function generateAnalysis(targetPosition: string): Promise<CareerAnalysisResponse> {
-  return request<CareerAnalysisResponse>("/api/career-analysis/generate", {
+  return request<CareerAnalysisResponse>(PATHS.careerAnalysis.generate, {
     method: "POST",
     body: JSON.stringify({ target_position: targetPosition }),
   });
@@ -72,29 +73,29 @@ export function generateAnalysis(targetPosition: string): Promise<CareerAnalysis
 
 /** 全分析結果を取得する。 */
 export function listAnalyses(): Promise<CareerAnalysisResponse[]> {
-  return request<CareerAnalysisResponse[]>("/api/career-analysis/");
+  return request<CareerAnalysisResponse[]>(PATHS.careerAnalysis.base);
 }
 
 /** 指定 ID の分析結果を取得する。 */
 export function getAnalysis(id: number): Promise<CareerAnalysisResponse> {
-  return request<CareerAnalysisResponse>(`/api/career-analysis/${id}`);
+  return request<CareerAnalysisResponse>(PATHS.careerAnalysis.byId(id));
 }
 
 /** 分析ステータスを取得する（ポーリング用）。 */
 export function getAnalysisStatus(id: number): Promise<TaskStatusResponse> {
-  return request<TaskStatusResponse>(`/api/career-analysis/${id}/status`);
+  return request<TaskStatusResponse>(PATHS.careerAnalysis.status(id));
 }
 
 /** 分析結果を削除する。 */
 export function deleteAnalysis(id: number): Promise<void> {
-  return request<void>(`/api/career-analysis/${id}`, {
+  return request<void>(PATHS.careerAnalysis.byId(id), {
     method: "DELETE",
   });
 }
 
 /** 失敗したキャリア分析タスクを手動で再実行する（202 非同期）。 */
 export function retryAnalysis(id: number): Promise<CareerAnalysisResponse> {
-  return request<CareerAnalysisResponse>(`/api/career-analysis/${id}/retry`, {
+  return request<CareerAnalysisResponse>(PATHS.careerAnalysis.retry(id), {
     method: "POST",
   });
 }
diff --git a/frontend/src/api/client.ts b/frontend/src/api/client.ts
index 2242a74e..2d9ee23c 100644
--- a/frontend/src/api/client.ts
+++ b/frontend/src/api/client.ts
@@ -1,3 +1,4 @@
+import { isErrorCode } from "../constants/errorCodes";
 import { ERROR_CONFIG } from "../constants/errorMessages";
 import { ApiError } from "../utils/appError";
 import { generateErrorId } from "../utils/errorId";
@@ -90,7 +91,7 @@ function buildApiError(response: Response, body: ErrorResponseBody | null, fallb
   const message =
     body?.message ??
     getLegacyDetail(body) ??
-    ERROR_CONFIG[code]?.message ??
+    (isErrorCode(code) ? ERROR_CONFIG[code].message : undefined) ??
     fallbackMessage;
 
   return new ApiError({
diff --git a/frontend/src/api/intelligence.ts b/frontend/src/api/intelligence.ts
index c82ab528..81067d94 100644
--- a/frontend/src/api/intelligence.ts
+++ b/frontend/src/api/intelligence.ts
@@ -1,4 +1,5 @@
 import { request } from "./client";
+import { PATHS } from "./paths";
 import type { TaskStatusResponse } from "./career-analysis";
 
 export interface TaskProgress {
@@ -51,7 +52,7 @@ export interface CachedAnalysisResponse {
  * GitHub プロフィールの分析を開始します（202 非同期）。
  */
 export function analyzeGitHub(payload: AnalyzeGitHubPayload): Promise<{ status: string }> {
-  return request<{ status: string }>("/api/intelligence/analyze", {
+  return request<{ status: string }>(PATHS.intelligence.analyze, {
     method: "POST",
     body: JSON.stringify(payload),
   });
@@ -61,14 +62,14 @@ export function analyzeGitHub(payload: AnalyzeGitHubPayload): Promise<{ status:
  * DB に保存された分析キャッシュを取得します。
  */
 export function getAnalysisCache(): Promise<CachedAnalysisResponse> {
-  return request<CachedAnalysisResponse>("/api/intelligence/cache");
+  return request<CachedAnalysisResponse>(PATHS.intelligence.cache);
 }
 
 /**
  * 分析ステータスを取得します（ポーリング用）。
  */
 export function getAnalysisCacheStatus(): Promise<TaskStatusResponse> {
-  return request<TaskStatusResponse>("/api/intelligence/cache/status");
+  return request<TaskStatusResponse>(PATHS.intelligence.cacheStatus);
 }
 
 /**
@@ -76,7 +77,7 @@ export function getAnalysisCacheStatus(): Promise<TaskStatusResponse> {
  * Redis が利用できない場合は step_index=0 のデフォルト値が返ります。
  */
 export function getAnalysisProgress(): Promise<TaskProgress> {
-  return request<TaskProgress>("/api/intelligence/progress");
+  return request<TaskProgress>(PATHS.intelligence.progress);
 }
 
 /**
@@ -85,7 +86,7 @@ export function getAnalysisProgress(): Promise<TaskProgress> {
 export function retryAnalyzeGitHub(
   payload: AnalyzeGitHubPayload = {},
 ): Promise<{ status: string }> {
-  return request<{ status: string }>("/api/intelligence/analyze/retry", {
+  return request<{ status: string }>(PATHS.intelligence.analyzeRetry, {
     method: "POST",
     body: JSON.stringify(payload),
   });
diff --git a/frontend/src/api/master-data.ts b/frontend/src/api/master-data.ts
index 1453f8be..bab14f92 100644
--- a/frontend/src/api/master-data.ts
+++ b/frontend/src/api/master-data.ts
@@ -1,10 +1,11 @@
 import type { MasterItem, TechStackMasterItem } from "../types";
 import { request } from "./client";
+import { PATHS } from "./paths";
 
 export function getQualifications(): Promise<MasterItem[]> {
-  return request<MasterItem[]>("/api/master-data/qualification");
+  return request<MasterItem[]>(PATHS.masterData.qualification);
 }
 
 export function getTechnologyStacks(): Promise<TechStackMasterItem[]> {
-  return request<TechStackMasterItem[]>("/api/master-data/technology-stack");
+  return request<TechStackMasterItem[]>(PATHS.masterData.technologyStack);
 }
diff --git a/frontend/src/api/notifications.ts b/frontend/src/api/notifications.ts
index 487e5731..1461fc3a 100644
--- a/frontend/src/api/notifications.ts
+++ b/frontend/src/api/notifications.ts
@@ -1,4 +1,5 @@
 import { request } from "./client";
+import { PATHS } from "./paths";
 
 export interface Notification {
   id: string;
@@ -18,21 +19,21 @@ export interface UnreadCountResponse {
  * 最新30件の通知を取得します。
  */
 export function getNotifications(): Promise<Notification[]> {
-  return request<Notification[]>("/api/notifications");
+  return request<Notification[]>(PATHS.notifications.base);
 }
 
 /**
  * 未読件数を取得します。
  */
 export function getUnreadCount(): Promise<UnreadCountResponse> {
-  return request<UnreadCountResponse>("/api/notifications/unread-count");
+  return request<UnreadCountResponse>(PATHS.notifications.unreadCount);
 }
 
 /**
  * 指定された通知を既読にします。
  */
 export function markAsRead(notificationId: string): Promise<Notification> {
-  return request<Notification>(`/api/notifications/${notificationId}/read`, {
+  return request<Notification>(PATHS.notifications.read(notificationId), {
     method: "PATCH",
   });
 }
@@ -41,7 +42,7 @@ export function markAsRead(notificationId: string): Promise<Notification> {
  * 全通知を既読にします。
  */
 export function markAllAsRead(): Promise<{ updated: number }> {
-  return request<{ updated: number }>("/api/notifications/read-all", {
+  return request<{ updated: number }>(PATHS.notifications.readAll, {
     method: "POST",
   });
 }
diff --git a/frontend/src/api/paths.ts b/frontend/src/api/paths.ts
new file mode 100644
index 00000000..631aae9f
--- /dev/null
+++ b/frontend/src/api/paths.ts
@@ -0,0 +1,79 @@
+/**
+ * バックエンド API パスの SSoT 定数定義。
+ *
+ * ## 目的
+ *
+ * - `/api/...` のリテラル文字列が複数のモジュールに散在する SSoT 違反を解消する
+ * - backend の router prefix を変更したときに、frontend 側で 404 を起こす前に
+ *   静的に検出できるようにする
+ *
+ * ## 運用ルール
+ *
+ * - 新規エンドポイントを追加する場合、まず backend `app/routers/*` に `@router.<method>("/...")`
+ *   を追加し、その後本ファイルに定数を追加する
+ * - パス変更時は本ファイルだけ更新すれば api/*.ts 全体が追従する
+ * - 動的パスは関数として export する（例: `resumes.byId(id)`）
+ *
+ * ## 関連
+ *
+ * - backend router 定義: `backend/app/routers/*`
+ * - 旧来のリテラル参照: `frontend/src/api/*.ts`（本定数経由に置換済み）
+ */
+
+export const PATHS = {
+  auth: {
+    githubCallback: "/auth/github/callback",
+  },
+  resumes: {
+    base: "/api/resumes",
+    latest: "/api/resumes/latest",
+    byId: (id: string) => `/api/resumes/${id}`,
+    pdf: (id: string) => `/api/resumes/${id}/pdf`,
+    markdown: (id: string) => `/api/resumes/${id}/markdown`,
+  },
+  careerAnalysis: {
+    base: "/api/career-analysis/",
+    generate: "/api/career-analysis/generate",
+    byId: (id: number | string) => `/api/career-analysis/${id}`,
+    status: (id: number | string) => `/api/career-analysis/${id}/status`,
+    retry: (id: number | string) => `/api/career-analysis/${id}/retry`,
+  },
+  intelligence: {
+    analyze: "/api/intelligence/analyze",
+    analyzeRetry: "/api/intelligence/analyze/retry",
+    cache: "/api/intelligence/cache",
+    cacheStatus: "/api/intelligence/cache/status",
+    progress: "/api/intelligence/progress",
+  },
+  masterData: {
+    qualification: "/api/master-data/qualification",
+    technologyStack: "/api/master-data/technology-stack",
+  },
+  notifications: {
+    base: "/api/notifications",
+    unreadCount: "/api/notifications/unread-count",
+    readAll: "/api/notifications/read-all",
+    read: (notificationId: string) => `/api/notifications/${notificationId}/read`,
+  },
+  blog: {
+    accounts: "/api/blog/accounts",
+    accountByPlatform: (platform: string) => `/api/blog/accounts/${platform}`,
+    accountById: (id: string) => `/api/blog/accounts/${id}`,
+    accountSync: (accountId: string) => `/api/blog/accounts/${accountId}/sync`,
+    articles: (platform?: string) =>
+      platform ? `/api/blog/articles?platform=${platform}` : "/api/blog/articles",
+    summarize: "/api/blog/summarize",
+    summarizeRetry: "/api/blog/summarize/retry",
+    summaryCache: "/api/blog/summary-cache",
+    summaryCacheStatus: "/api/blog/summary-cache/status",
+    score: "/api/blog/score",
+  },
+  aiResume: {
+    generate: "/api/ai-resume/generate",
+    snapshots: "/api/ai-resume/snapshots",
+    snapshotById: (id: number | string) => `/api/ai-resume/snapshots/${id}`,
+    snapshotFinalize: (id: number | string) => `/api/ai-resume/snapshots/${id}/finalize`,
+    snapshotPdf: (id: number | string) => `/api/ai-resume/snapshots/${id}/pdf`,
+    snapshotMarkdown: (id: number | string) => `/api/ai-resume/snapshots/${id}/markdown`,
+  },
+} as const;
diff --git a/frontend/src/api/resumes.ts b/frontend/src/api/resumes.ts
index d770b584..10f154bb 100644
--- a/frontend/src/api/resumes.ts
+++ b/frontend/src/api/resumes.ts
@@ -1,13 +1,14 @@
 import type { CareerResumePayload, CareerResumeResponse } from "../types";
 import { request } from "./client";
 import { downloadBlob, getBlobUrl } from "./download";
+import { PATHS } from "./paths";
 
 export function getLatestCareerResume(): Promise<CareerResumeResponse> {
-  return request<CareerResumeResponse>("/api/resumes/latest");
+  return request<CareerResumeResponse>(PATHS.resumes.latest);
 }
 
 export function createCareerResume(payload: CareerResumePayload): Promise<CareerResumeResponse> {
-  return request<CareerResumeResponse>("/api/resumes", {
+  return request<CareerResumeResponse>(PATHS.resumes.base, {
     method: "POST",
     body: JSON.stringify(payload),
   });
@@ -17,24 +18,24 @@ export function updateCareerResume(
   id: string,
   payload: CareerResumePayload,
 ): Promise<CareerResumeResponse> {
-  return request<CareerResumeResponse>(`/api/resumes/${id}`, {
+  return request<CareerResumeResponse>(PATHS.resumes.byId(id), {
     method: "PUT",
     body: JSON.stringify(payload),
   });
 }
 
 export function deleteCareerResume(): Promise<{ message: string }> {
-  return request<{ message: string }>("/api/resumes", { method: "DELETE" });
+  return request<{ message: string }>(PATHS.resumes.base, { method: "DELETE" });
 }
 
 export function downloadCareerResumePdf(id: string): Promise<void> {
-  return downloadBlob(`/api/resumes/${id}/pdf`, `career-resume-${id}.pdf`);
+  return downloadBlob(PATHS.resumes.pdf(id), `career-resume-${id}.pdf`);
 }
 
 export function downloadCareerResumeMarkdown(id: string): Promise<void> {
-  return downloadBlob(`/api/resumes/${id}/markdown`, `career-resume-${id}.md`);
+  return downloadBlob(PATHS.resumes.markdown(id), `career-resume-${id}.md`);
 }
 
 export function getCareerResumePdfBlobUrl(id: string): Promise<string> {
-  return getBlobUrl(`/api/resumes/${id}/pdf`);
+  return getBlobUrl(PATHS.resumes.pdf(id));
 }
diff --git a/frontend/src/components/ui/ErrorToast.tsx b/frontend/src/components/ui/ErrorToast.tsx
index add9001b..9b13b08a 100644
--- a/frontend/src/components/ui/ErrorToast.tsx
+++ b/frontend/src/components/ui/ErrorToast.tsx
@@ -1,3 +1,4 @@
+import { isErrorCode } from "../../constants/errorCodes";
 import { ERROR_CONFIG } from "../../constants/errorMessages";
 import styles from "./ErrorToast.module.css";
 
@@ -10,7 +11,7 @@ type Props = {
 };
 
 export function ErrorToast({ code, message, action, onRetry, errorId }: Props) {
-  const config = ERROR_CONFIG[code] ?? ERROR_CONFIG.INTERNAL_ERROR;
+  const config = isErrorCode(code) ? ERROR_CONFIG[code] : ERROR_CONFIG.INTERNAL_ERROR;
   const recovery = config.recovery;
   const recoveryFn = onRetry ?? recovery?.fn;
   const resolvedMessage = message ?? config.message;
diff --git a/frontend/src/constants/errorCodes.ts b/frontend/src/constants/errorCodes.ts
new file mode 100644
index 00000000..932fb0b9
--- /dev/null
+++ b/frontend/src/constants/errorCodes.ts
@@ -0,0 +1,43 @@
+/**
+ * バックエンドが返すエラーコードの SSoT 型定義。
+ *
+ * ## 同期ルール
+ *
+ * 本ファイルは backend の `backend/app/core/errors.py:ErrorCode` enum と
+ * 完全に同じキー集合を保つ必要がある。
+ *
+ * - BE で新しい ErrorCode を追加 → 本ファイルにもキーを追加し、
+ *   `frontend/src/constants/errorMessages.ts` の `ERROR_CONFIG` にメッセージと recovery を追加すること
+ * - キー名・値の rename も両側を同時に変更すること
+ *
+ * 型システム上は `ERROR_CONFIG` を `Record<ErrorCodeKey, ...>` で縛ることで、
+ * キーの網羅漏れを TypeScript の型エラーとして検出できる。
+ *
+ * 関連: `backend/app/core/errors.py`, `frontend/src/utils/appError.ts`
+ */
+
+export const ERROR_CODES = [
+  // 認証
+  "AUTH_EXPIRED",
+  "AUTH_REQUIRED",
+  // GitHub
+  "GITHUB_RATE_LIMITED",
+  "GITHUB_USER_NOT_FOUND",
+  // LLM
+  "LLM_TIMEOUT",
+  "LLM_UNAVAILABLE",
+  // バリデーション
+  "VALIDATION_ERROR",
+  // 外部 API
+  "QIITA_RATE_LIMITED",
+  // アプリケーション全体
+  "RATE_LIMITED",
+  // サーバー
+  "INTERNAL_ERROR",
+] as const;
+
+export type ErrorCodeKey = (typeof ERROR_CODES)[number];
+
+export function isErrorCode(value: unknown): value is ErrorCodeKey {
+  return typeof value === "string" && (ERROR_CODES as readonly string[]).includes(value);
+}
diff --git a/frontend/src/constants/errorMessages.ts b/frontend/src/constants/errorMessages.ts
index a8443797..7b8934ca 100644
--- a/frontend/src/constants/errorMessages.ts
+++ b/frontend/src/constants/errorMessages.ts
@@ -1,10 +1,19 @@
+import type { ErrorCodeKey } from "./errorCodes";
+
 type RecoveryAction = {
   label: string;
   fn: (() => void) | null;
 };
 
+/**
+ * エラーコード → メッセージ + 回復アクションのマップ。
+ *
+ * キーは `frontend/src/constants/errorCodes.ts` の `ErrorCodeKey` で型縛り。
+ * backend `backend/app/core/errors.py:ErrorCode` に新しいコードを追加した場合、
+ * ERROR_CODES と本マップの両方に同時追加が必要（型エラーで漏れを検出）。
+ */
 export const ERROR_CONFIG: Record<
-  string,
+  ErrorCodeKey,
   {
     message: string;
     recovery: RecoveryAction | null;
diff --git a/infra/environments/dev/main.tf b/infra/environments/dev/main.tf
index adaa1e0b..c4b73518 100644
--- a/infra/environments/dev/main.tf
+++ b/infra/environments/dev/main.tf
@@ -1,80 +1,46 @@
 provider "google" {
   project = var.project_id
-  region  = local.region
+  region  = "asia-northeast1"
 }
 
 provider "cloudflare" {
   api_token = var.cloudflare_api_token
 }
 
-locals {
-  stack_name = "${var.app_name}-dev"
-  region     = "asia-northeast1"
-}
-
-module "service_account" {
-  source = "../../modules/service_account"
+# --------------------------------------------------------------------
+# dev 環境の stack composition
+# 各 module の呼び出しは ../../modules/devforge_stack に集約されている。
+# 環境差分（環境名、Cloudflare Pages 設定、production branch）のみここで渡す。
+# --------------------------------------------------------------------
+module "devforge_stack" {
+  source = "../../modules/devforge_stack"
 
+  environment                    = "dev"
   project_id                     = var.project_id
-  stack_name                     = local.stack_name
+  app_name                       = var.app_name
+  template_version               = var.template_version
   deployer_service_account_email = var.deployer_service_account_email
-}
 
-module "artifact_registry" {
-  source = "../../modules/artifact_registry"
+  cors_origins        = var.cors_origins
+  callback_base_url   = var.callback_base_url
+  enable_github_oauth = var.enable_github_oauth
 
-  project_id = var.project_id
-  region     = local.region
-  stack_name = local.stack_name
-}
-
-module "cloud_tasks" {
-  source = "../../modules/cloud_tasks"
+  alert_email = var.alert_email
 
-  project_id = var.project_id
-  location   = local.region
-  queue_name = "devforge-ai-tasks-dev"
-}
-
-module "cloud_run" {
-  source                      = "../../modules/cloud_run"
-  project_id                  = var.project_id
-  region                      = local.region
-  stack_name                  = local.stack_name
-  service_account_email       = module.service_account.email
-  enable_github_oauth         = var.enable_github_oauth
-  turso_database_url          = var.turso_database_url
-  cors_origins                = var.cors_origins
-  callback_base_url           = var.callback_base_url
-  environment                 = "dev"
-  task_runner                 = "cloud_tasks"
-  cloud_tasks_queue           = module.cloud_tasks.queue_name
-  cloud_tasks_location        = local.region
-  cloud_tasks_service_account = module.service_account.email
-  upstash_redis_url           = var.upstash_redis_url
-  upstash_redis_token         = var.upstash_redis_token
-}
-
-module "monitoring" {
-  source = "../../modules/monitoring"
-
-  project_id       = var.project_id
-  cloud_run_domain = replace(module.cloud_run.service_url, "https://", "")
-  alert_email      = var.alert_email
-}
+  upstash_redis_url   = var.upstash_redis_url
+  upstash_redis_token = var.upstash_redis_token
 
-module "cloudflare" {
-  source = "../../modules/cloudflare"
+  turso_database_url = var.turso_database_url
 
-  cloudflare_account_id = var.cloudflare_account_id
-  cloudflare_zone_id    = var.cloudflare_zone_id
-  project_name          = var.cloudflare_pages_project_name
-  subdomain             = var.cloudflare_subdomain
-  production_branch     = "dev"
+  cloudflare_account_id         = var.cloudflare_account_id
+  cloudflare_zone_id            = var.cloudflare_zone_id
+  cloudflare_pages_project_name = var.cloudflare_pages_project_name
+  cloudflare_subdomain          = var.cloudflare_subdomain
+  cloudflare_production_branch  = "dev"
 }
 
 output "stack_name" {
-  value = local.stack_name
+  value = module.devforge_stack.stack_name
 }
 
 output "template_version" {
@@ -82,13 +48,13 @@ output "template_version" {
 }
 
 output "artifact_registry_url" {
-  value = module.artifact_registry.url
+  value = module.devforge_stack.artifact_registry_url
 }
 
 output "cloudflare_pages_subdomain" {
-  value = module.cloudflare.pages_subdomain
+  value = module.devforge_stack.cloudflare_pages_subdomain
 }
 
 output "cloudflare_pages_project_name" {
-  value = module.cloudflare.pages_project_name
+  value = module.devforge_stack.cloudflare_pages_project_name
 }
diff --git a/infra/modules/devforge_stack/main.tf b/infra/modules/devforge_stack/main.tf
new file mode 100644
index 00000000..417d26e9
--- /dev/null
+++ b/infra/modules/devforge_stack/main.tf
@@ -0,0 +1,102 @@
+# --------------------------------------------------------------------
+# devforge_stack: environments/<env> から呼ばれる stack composition module
+# 6 つの既存 module（service_account / artifact_registry / cloud_tasks /
+# cloud_run / monitoring / cloudflare）を内包し、必要な GCP API も
+# 同じ場所で有効化する。
+# --------------------------------------------------------------------
+
+locals {
+  stack_name = "${var.app_name}-${var.environment}"
+
+  # Cloud Run / Cloud Tasks / Artifact Registry / Secret Manager / Monitoring / Logging の依存 API
+  required_apis = [
+    "artifactregistry.googleapis.com",
+    "run.googleapis.com",
+    "secretmanager.googleapis.com",
+    "cloudtasks.googleapis.com",
+    "monitoring.googleapis.com",
+    "logging.googleapis.com",
+  ]
+}
+
+# 必要な GCP API の有効化（destroy 時には無効化しない）
+resource "google_project_service" "apis" {
+  for_each = toset(local.required_apis)
+
+  project                    = var.project_id
+  service                    = each.value
+  disable_on_destroy         = false
+  disable_dependent_services = false
+}
+
+module "service_account" {
+  source = "../service_account"
+
+  project_id                     = var.project_id
+  stack_name                     = local.stack_name
+  deployer_service_account_email = var.deployer_service_account_email
+
+  depends_on = [google_project_service.apis]
+}
+
+module "artifact_registry" {
+  source = "../artifact_registry"
+
+  project_id = var.project_id
+  region     = var.region
+  stack_name = local.stack_name
+
+  depends_on = [google_project_service.apis]
+}
+
+module "cloud_tasks" {
+  source = "../cloud_tasks"
+
+  project_id = var.project_id
+  location   = var.region
+  queue_name = "devforge-ai-tasks-${var.environment}"
+
+  depends_on = [google_project_service.apis]
+}
+
+module "cloud_run" {
+  source = "../cloud_run"
+
+  project_id                  = var.project_id
+  region                      = var.region
+  stack_name                  = local.stack_name
+  service_account_email       = module.service_account.email
+  enable_github_oauth         = var.enable_github_oauth
+  turso_database_url          = var.turso_database_url
+  cors_origins                = var.cors_origins
+  callback_base_url           = var.callback_base_url
+  environment                 = var.environment
+  task_runner                 = "cloud_tasks"
+  cloud_tasks_queue           = module.cloud_tasks.queue_name
+  cloud_tasks_location        = var.region
+  cloud_tasks_service_account = module.service_account.email
+  upstash_redis_url           = var.upstash_redis_url
+  upstash_redis_token         = var.upstash_redis_token
+
+  depends_on = [google_project_service.apis]
+}
+
+module "monitoring" {
+  source = "../monitoring"
+
+  project_id       = var.project_id
+  cloud_run_domain = replace(module.cloud_run.service_url, "https://", "")
+  alert_email      = var.alert_email
+
+  depends_on = [google_project_service.apis]
+}
+
+module "cloudflare" {
+  source = "../cloudflare"
+
+  cloudflare_account_id = var.cloudflare_account_id
+  cloudflare_zone_id    = var.cloudflare_zone_id
+  project_name          = var.cloudflare_pages_project_name
+  subdomain             = var.cloudflare_subdomain
+  production_branch     = var.cloudflare_production_branch
+}
diff --git a/infra/modules/devforge_stack/outputs.tf b/infra/modules/devforge_stack/outputs.tf
new file mode 100644
index 00000000..73f8a21f
--- /dev/null
+++ b/infra/modules/devforge_stack/outputs.tf
@@ -0,0 +1,24 @@
+output "stack_name" {
+  description = "Stack 名（{app_name}-{environment}）。"
+  value       = local.stack_name
+}
+
+output "artifact_registry_url" {
+  description = "Artifact Registry リポジトリ URL（{region}-docker.pkg.dev/{project_id}/{stack_name}）。"
+  value       = module.artifact_registry.url
+}
+
+output "cloudflare_pages_subdomain" {
+  description = "Cloudflare Pages のデフォルトサブドメイン（{project_name}.pages.dev）。"
+  value       = module.cloudflare.pages_subdomain
+}
+
+output "cloudflare_pages_project_name" {
+  description = "Cloudflare Pages プロジェクト名。"
+  value       = module.cloudflare.pages_project_name
+}
+
+output "service_url" {
+  description = "Cloud Run service URL。"
+  value       = module.cloud_run.service_url
+}
diff --git a/infra/modules/devforge_stack/variables.tf b/infra/modules/devforge_stack/variables.tf
new file mode 100644
index 00000000..5ea2bb78
--- /dev/null
+++ b/infra/modules/devforge_stack/variables.tf
@@ -0,0 +1,121 @@
+# --------------------------------------------------------------------
+# devforge_stack: dev / stg / prod 環境の stack composition を一元化する
+# 各 environments/<env>/main.tf からの重複を吸収するための合成 module。
+# --------------------------------------------------------------------
+
+variable "environment" {
+  description = "実行環境識別子（dev / stg / prod）。Cloud Run の ENV 値、stack_name の suffix、Cloud Tasks queue 名に使用する。"
+  type        = string
+
+  validation {
+    condition     = contains(["dev", "stg", "prod"], var.environment)
+    error_message = "environment は dev / stg / prod のいずれかでなければならない。"
+  }
+}
+
+variable "project_id" {
+  description = "GCP project ID。"
+  type        = string
+}
+
+variable "app_name" {
+  description = "アプリケーション名 prefix。stack_name は app_name と environment を - で連結して組み立てる（例: devforge-dev）。"
+  type        = string
+}
+
+variable "region" {
+  description = "GCP リージョン。Cloud Run / Artifact Registry / Cloud Tasks すべてで共通利用。"
+  type        = string
+  default     = "asia-northeast1"
+}
+
+variable "template_version" {
+  description = "Infrastructure template version。"
+  type        = string
+}
+
+variable "deployer_service_account_email" {
+  description = "デプロイ用サービスアカウントのメールアドレス。設定されている場合のみ runtime SA への actAs と Cloud Run developer ロールを付与する。"
+  type        = string
+  default     = ""
+}
+
+# --- アプリケーション設定 ---
+
+variable "cors_origins" {
+  description = "API が許可する CORS origin（カンマ区切り）。"
+  type        = string
+}
+
+variable "callback_base_url" {
+  description = "OAuth callback の base URL（例: https://app.devforge.app）。GitHub OAuth の redirect_uri を固定する。"
+  type        = string
+  default     = ""
+}
+
+variable "enable_github_oauth" {
+  description = "GitHub OAuth Secret を Cloud Run に注入するかどうか。"
+  type        = bool
+  default     = false
+}
+
+# --- 外部サービス: 監視 ---
+
+variable "alert_email" {
+  description = "監視アラート通知先メールアドレス。"
+  type        = string
+  sensitive   = true
+}
+
+# --- 外部サービス: Upstash Redis ---
+
+variable "upstash_redis_url" {
+  description = "Upstash Redis 接続 URL（rediss://host:port 形式）。未設定の場合は進捗機能を無効化。"
+  type        = string
+  default     = ""
+}
+
+variable "upstash_redis_token" {
+  description = "Upstash Redis 認証トークン。"
+  type        = string
+  sensitive   = true
+  default     = ""
+}
+
+# --- 外部サービス: Turso ---
+
+variable "turso_database_url" {
+  description = "Turso (libSQL) データベースの接続 URL（例: libsql://devforge-dev-xxxx.turso.io）。"
+  type        = string
+}
+
+# --- 外部サービス: Cloudflare ---
+
+variable "cloudflare_account_id" {
+  description = "Cloudflare アカウント ID。"
+  type        = string
+  sensitive   = true
+  default     = ""
+}
+
+variable "cloudflare_zone_id" {
+  description = "Cloudflare DNS ゾーン ID（devforge.app ドメイン）。"
+  type        = string
+  sensitive   = true
+  default     = ""
+}
+
+variable "cloudflare_pages_project_name" {
+  description = "Cloudflare Pages プロジェクト名（例: devforge-dev / devforge-stg / devforge）。"
+  type        = string
+}
+
+variable "cloudflare_subdomain" {
+  description = "Cloudflare DNS レコード名（例: app-dev / app-stg / app）。{subdomain}.devforge.app となる。"
+  type        = string
+}
+
+variable "cloudflare_production_branch" {
+  description = "Cloudflare Pages の production branch 名。dev / stg は環境名と同じ、prod は \"main\"。"
+  type        = string
+}

From 9e0949fcfb855d48700a921e8a02f44884260dd4 Mon Sep 17 00:00:00 2001
From: Wada Yusuke <yusuketenpa12345@gmail.com>
Date: Sun, 17 May 2026 06:55:18 +0900
Subject: [PATCH 3/3] INFRA dry fix

---
 .jscpd.json                                   |  11 +-
 infra/environments/dev/.terraform.lock.hcl    |  45 ++++
 infra/environments/dev/main.tf                |  25 +-
 infra/environments/dev/moved.tf               |  42 +--
 infra/environments/dev/outputs.tf             |   1 +
 infra/environments/dev/terraform.tfvars       |   3 +
 infra/environments/dev/variables.tf           |  95 +------
 infra/environments/prod/.terraform.lock.hcl   |  38 +--
 infra/environments/prod/main.tf               | 126 ++-------
 infra/environments/prod/moved.tf              |  41 +--
 infra/environments/prod/outputs.tf            |   1 +
 infra/environments/prod/terraform.tfvars      |   3 +
 infra/environments/prod/variables.tf          |  95 +------
 infra/environments/shared/moved.tf            | 102 +++++++
 infra/environments/shared/outputs.tf          |  19 ++
 infra/environments/shared/variables.tf        | 103 ++++++++
 infra/environments/stg/.terraform.lock.hcl    |  38 +--
 infra/environments/stg/main.tf                | 126 ++-------
 infra/environments/stg/moved.tf               |  41 +--
 infra/environments/stg/outputs.tf             |   1 +
 infra/environments/stg/terraform.tfvars       |   3 +
 infra/environments/stg/variables.tf           |  95 +------
 infra/modules/cloud_tasks/main.tf             |   6 +-
 infra/modules/cloud_tasks/variables.tf        |  16 +-
 infra/modules/devforge_stack/main.tf          |   7 +-
 infra/modules/devforge_stack/variables.tf     |   2 +-
 infra/modules/monitoring/auth_failures.tf     |  76 ++++++
 infra/modules/monitoring/main.tf              | 248 ------------------
 .../monitoring/notification_channels.tf       |  11 +
 infra/modules/monitoring/rate_limits.tf       |  67 +++++
 infra/modules/monitoring/task_failures.tf     |  39 +++
 infra/modules/monitoring/uptime.tf            |  51 ++++
 32 files changed, 644 insertions(+), 933 deletions(-)
 create mode 100644 infra/environments/dev/.terraform.lock.hcl
 mode change 100644 => 120000 infra/environments/dev/moved.tf
 create mode 120000 infra/environments/dev/outputs.tf
 mode change 100644 => 120000 infra/environments/dev/variables.tf
 mode change 100644 => 120000 infra/environments/prod/moved.tf
 create mode 120000 infra/environments/prod/outputs.tf
 mode change 100644 => 120000 infra/environments/prod/variables.tf
 create mode 100644 infra/environments/shared/moved.tf
 create mode 100644 infra/environments/shared/outputs.tf
 create mode 100644 infra/environments/shared/variables.tf
 mode change 100644 => 120000 infra/environments/stg/moved.tf
 create mode 120000 infra/environments/stg/outputs.tf
 mode change 100644 => 120000 infra/environments/stg/variables.tf
 create mode 100644 infra/modules/monitoring/auth_failures.tf
 delete mode 100644 infra/modules/monitoring/main.tf
 create mode 100644 infra/modules/monitoring/notification_channels.tf
 create mode 100644 infra/modules/monitoring/rate_limits.tf
 create mode 100644 infra/modules/monitoring/task_failures.tf
 create mode 100644 infra/modules/monitoring/uptime.tf

diff --git a/.jscpd.json b/.jscpd.json
index 0aba212e..a3e74adb 100644
--- a/.jscpd.json
+++ b/.jscpd.json
@@ -46,7 +46,16 @@
     "**/*.lock",
     "**/*.snap",
     "**/.terraform.lock.hcl",
-    "**/.terraform/**"
+    "**/.terraform/**",
+    "**/infra/environments/dev/variables.tf",
+    "**/infra/environments/stg/variables.tf",
+    "**/infra/environments/prod/variables.tf",
+    "**/infra/environments/dev/moved.tf",
+    "**/infra/environments/stg/moved.tf",
+    "**/infra/environments/prod/moved.tf",
+    "**/infra/environments/dev/outputs.tf",
+    "**/infra/environments/stg/outputs.tf",
+    "**/infra/environments/prod/outputs.tf"
   ],
   "reporters": ["json", "html", "markdown", "consoleFull"],
   "output": "report/dupe",
diff --git a/infra/environments/dev/.terraform.lock.hcl b/infra/environments/dev/.terraform.lock.hcl
new file mode 100644
index 00000000..dc8d3108
--- /dev/null
+++ b/infra/environments/dev/.terraform.lock.hcl
@@ -0,0 +1,45 @@
+# This file is maintained automatically by "terraform init".
+# Manual edits may be lost in future updates.
+
+provider "registry.terraform.io/cloudflare/cloudflare" {
+  version     = "4.52.7"
+  constraints = "~> 4.0"
+  hashes = [
+    "h1:uUUa9dY0XQOycI8pxg16PFFtL0WCTi9uEJz8trTQ7pU=",
+    "zh:0c904ce31a4c6c4a5b3bf7ff1560e77c0cc7e2450c8553ded8e8c90398e1418b",
+    "zh:36183d310c36373fe4cb936b83c595c6fd3b0a94bc7827f28e5789ccbf59752e",
+    "zh:556a568a6f0235e8f41647de9e4d3a1e7b1d6502df8b19b54ec441f1c653ea10",
+    "zh:633ebbd5b0245e75e500ef9be4d9e62288f97e8da3baaa51323892a786d90285",
+    "zh:6acfe60cf52a65ba8f044f748548d2119e7f4fd7f8ebcb14698960d87c68f529",
+    "zh:890df766e9b839623b1f0437355032a3c006226a6c200cd911e15ee1a9014e9f",
+    "zh:904acc31ebb9d6ef68c792074b30532ee61bf515f19e0a3c75b46f126cca1f13",
+    "zh:a1d0a81246afc8750286d3f6fe7a8fbe6460dd2662407b28dbfbabb612e5fa9d",
+    "zh:a41a36fe253fc365fe2b7ffc749624688b2693b4634862fda161179ab100029f",
+    "zh:a7ef269e77ffa8715c8945a2c14322c7ff159ea44c15f62505f3cbb2cae3b32d",
+    "zh:b01aa3bed30610633b762df64332b26f8844a68c3960cebcb30f04918efc67fe",
+    "zh:b069cc2cd18cae10757df3ae030508eac8d55de7e49eda7a5e3e11f2f7fe6455",
+    "zh:b2d2c6313729ebb7465dceece374049e2d08bda34473901be9ff46a8836d42b2",
+    "zh:db0e114edaf4bc2f3d4769958807c83022bfbc619a00bdf4c4bd17faa4ab2d8b",
+    "zh:ecc0aa8b9044f664fd2aaf8fa992d976578f78478980555b4b8f6148e8d1a5fe",
+  ]
+}
+
+provider "registry.terraform.io/hashicorp/google" {
+  version     = "7.32.0"
+  constraints = "~> 7.22"
+  hashes = [
+    "h1:hDMENgq6nxoM6ttxN1HNrqbYiyRV8avLmUuUe4QWvKY=",
+    "zh:091afeeeb58035f26ebaec34755a15d56e3229c4ce6db2745c52ba2593204a30",
+    "zh:15d6a375c49d023dd21e612610b12bf79fbc6459bc5ad64b989d2180e9931f7d",
+    "zh:2c70ee949b01c0c7925618e36417ac5b9c1de91c66bb0bd956b2b2bd1d38a2b6",
+    "zh:2e531cf6f3af847104df65675ebd9c9a7450ba91d8d21ff6ed04eeab6a5684e2",
+    "zh:42fece780ef909136213762731c945d59c58dbaf92f64a46989102da9ebfa998",
+    "zh:9008b13bec8c588ef41ec813c3d67d26acb22ada241d9dd9ed408687607726cc",
+    "zh:a62e09bd551de8ea74b68c1eb44f9d7d0dc56957811915d46ec0a28254a30e0b",
+    "zh:ad3d4419561d19e88b72ad4bedbbc73ee77f20acb594261be8f716bf1a89f947",
+    "zh:af0c23df89e5fb815751c64c9a438527d6e0609df52fa7e281dbd90aa238270b",
+    "zh:b4d1157559d04792441550ae79f13d16bd7cc3f80a9616cd9ef3f83466564ce4",
+    "zh:db32528838dc9641981769012bdabf21e658756f1581ccbcd239aab0eb4aed11",
+    "zh:f569b65999264a9416862bca5cd2a6177d94ccb0424f3a4ef424428912b9cb3c",
+  ]
+}
diff --git a/infra/environments/dev/main.tf b/infra/environments/dev/main.tf
index c4b73518..ced6d96f 100644
--- a/infra/environments/dev/main.tf
+++ b/infra/environments/dev/main.tf
@@ -1,6 +1,6 @@
 provider "google" {
   project = var.project_id
-  region  = "asia-northeast1"
+  region  = var.region
 }
 
 provider "cloudflare" {
@@ -19,6 +19,7 @@ module "devforge_stack" {
   project_id                     = var.project_id
   app_name                       = var.app_name
   template_version               = var.template_version
+  region                         = var.region
   deployer_service_account_email = var.deployer_service_account_email
 
   cors_origins        = var.cors_origins
@@ -36,25 +37,5 @@ module "devforge_stack" {
   cloudflare_zone_id            = var.cloudflare_zone_id
   cloudflare_pages_project_name = var.cloudflare_pages_project_name
   cloudflare_subdomain          = var.cloudflare_subdomain
-  cloudflare_production_branch  = "dev"
-}
-
-output "stack_name" {
-  value = module.devforge_stack.stack_name
-}
-
-output "template_version" {
-  value = var.template_version
-}
-
-output "artifact_registry_url" {
-  value = module.devforge_stack.artifact_registry_url
-}
-
-output "cloudflare_pages_subdomain" {
-  value = module.devforge_stack.cloudflare_pages_subdomain
-}
-
-output "cloudflare_pages_project_name" {
-  value = module.devforge_stack.cloudflare_pages_project_name
+  cloudflare_production_branch  = var.cloudflare_production_branch
 }
diff --git a/infra/environments/dev/moved.tf b/infra/environments/dev/moved.tf
deleted file mode 100644
index 500168f0..00000000
--- a/infra/environments/dev/moved.tf
+++ /dev/null
@@ -1,41 +0,0 @@
-# firebase モジュール廃止に伴い、deployer IAM を service_account モジュールへ移設
-# deployer_service_account_email が設定されている環境でのみ有効
-moved {
-  from = module.firebase.google_project_iam_member.deployer_artifact_registry_writer[0]
-  to   = module.service_account.google_project_iam_member.deployer_artifact_registry_writer[0]
-}
-
-moved {
-  from = module.firebase.google_project_iam_member.deployer_run_developer[0]
-  to   = module.service_account.google_project_iam_member.deployer_run_developer[0]
-}
-
-moved {
-  from = module.resume_stack.google_service_account.app
-  to   = module.service_account.google_service_account.app
-}
-
-moved {
-  from = module.resume_stack.google_artifact_registry_repository.app
-  to   = module.artifact_registry.google_artifact_registry_repository.app
-}
-
-moved {
-  from = module.resume_stack.google_secret_manager_secret.app
-  to   = module.cloud_run.google_secret_manager_secret.app
-}
-
-moved {
-  from = module.resume_stack.google_secret_manager_secret_iam_member.app
-  to   = module.cloud_run.google_secret_manager_secret_iam_member.app
-}
-
-moved {
-  from = module.resume_stack.google_cloud_run_v2_service.app
-  to   = module.cloud_run.google_cloud_run_v2_service.app
-}
-
-moved {
-  from = module.resume_stack.google_cloud_run_v2_service_iam_member.public_access
-  to   = module.cloud_run.google_cloud_run_v2_service_iam_member.public_access
-}
diff --git a/infra/environments/dev/moved.tf b/infra/environments/dev/moved.tf
new file mode 120000
index 00000000..724ff01c
--- /dev/null
+++ b/infra/environments/dev/moved.tf
@@ -0,0 +1 @@
+../shared/moved.tf
\ No newline at end of file
diff --git a/infra/environments/dev/outputs.tf b/infra/environments/dev/outputs.tf
new file mode 120000
index 00000000..726bdc72
--- /dev/null
+++ b/infra/environments/dev/outputs.tf
@@ -0,0 +1 @@
+../shared/outputs.tf
\ No newline at end of file
diff --git a/infra/environments/dev/terraform.tfvars b/infra/environments/dev/terraform.tfvars
index db146f5a..9b848667 100644
--- a/infra/environments/dev/terraform.tfvars
+++ b/infra/environments/dev/terraform.tfvars
@@ -3,5 +3,8 @@ app_name                       = "devforge"
 template_version               = "v0.1.0"
 cors_origins                   = "https://devforge-dev-20260311.web.app,https://devforge-dev-20260311.firebaseapp.com"
 callback_base_url              = "https://devforge-dev-20260311.web.app"
+cloudflare_pages_project_name  = "devforge-dev"
+cloudflare_subdomain           = "app-dev"
+cloudflare_production_branch   = "dev"
 enable_github_oauth            = true
 deployer_service_account_email = "devforge-github-deploy@devforge-dev-20260311.iam.gserviceaccount.com"
diff --git a/infra/environments/dev/variables.tf b/infra/environments/dev/variables.tf
deleted file mode 100644
index ab3a7c2e..00000000
--- a/infra/environments/dev/variables.tf
+++ /dev/null
@@ -1,94 +0,0 @@
-variable "project_id" {
-  description = "GCP project ID."
-  type        = string
-}
-
-variable "app_name" {
-  description = "Application name prefix."
-  type        = string
-}
-
-variable "deployer_service_account_email" {
-  description = "Optional deployer service account email that needs actAs on the runtime service account."
-  type        = string
-  default     = ""
-}
-
-variable "template_version" {
-  description = "Infrastructure template version."
-  type        = string
-}
-
-variable "cors_origins" {
-  description = "Allowed CORS origins for the API."
-  type        = string
-}
-
-variable "callback_base_url" {
-  description = "OAuth callback の base URL（例: https://app.devforge.app）。GitHub OAuth の redirect_uri を固定する。"
-  type        = string
-  default     = ""
-}
-
-variable "cloudflare_api_token" {
-  description = "Cloudflare API トークン。GitHub Secret → TF_VAR_cloudflare_api_token で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_account_id" {
-  description = "Cloudflare アカウント ID。GitHub Secret → TF_VAR_cloudflare_account_id で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_zone_id" {
-  description = "Cloudflare DNS ゾーン ID（devforge.app ドメイン）。GitHub Secret → TF_VAR_cloudflare_zone_id で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_pages_project_name" {
-  description = "Cloudflare Pages プロジェクト名（例: devforge-dev）。"
-  type        = string
-  default     = "devforge-dev"
-}
-
-variable "cloudflare_subdomain" {
-  description = "Cloudflare DNS レコード名（例: app-dev）。{subdomain}.devforge.app となる。"
-  type        = string
-  default     = "app-dev"
-}
-
-variable "enable_github_oauth" {
-  description = "Whether to inject GitHub OAuth secrets into Cloud Run."
-  type        = bool
-  default     = false
-}
-
-variable "alert_email" {
-  description = "監視アラート通知先メールアドレス。GitHub Secret → TF_VAR_alert_email で注入する。"
-  type        = string
-  sensitive   = true
-}
-
-variable "upstash_redis_url" {
-  description = "Upstash Redis 接続 URL。GitHub Secret → TF_VAR_upstash_redis_url で注入する。"
-  type        = string
-  default     = ""
-}
-
-variable "upstash_redis_token" {
-  description = "Upstash Redis 認証トークン。GitHub Secret → TF_VAR_upstash_redis_token で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "turso_database_url" {
-  description = "Turso (libSQL) データベースの接続 URL（例: libsql://devforge-dev-xxxx.turso.io）。turso CLI で発行する。GitHub Secret → TF_VAR_turso_database_url で注入する。"
-  type        = string
-}
diff --git a/infra/environments/dev/variables.tf b/infra/environments/dev/variables.tf
new file mode 120000
index 00000000..c113c00a
--- /dev/null
+++ b/infra/environments/dev/variables.tf
@@ -0,0 +1 @@
+../shared/variables.tf
\ No newline at end of file
diff --git a/infra/environments/prod/.terraform.lock.hcl b/infra/environments/prod/.terraform.lock.hcl
index 9e37125f..02563b8a 100644
--- a/infra/environments/prod/.terraform.lock.hcl
+++ b/infra/environments/prod/.terraform.lock.hcl
@@ -1,7 +1,7 @@
-# This file is maintained automatically by "terraform init".
+# This file is maintained automatically by "tofu init".
 # Manual edits may be lost in future updates.
 
-provider "registry.terraform.io/cloudflare/cloudflare" {
+provider "registry.opentofu.org/cloudflare/cloudflare" {
   version     = "4.52.7"
   constraints = "~> 4.0"
   hashes = [
@@ -24,21 +24,25 @@ provider "registry.terraform.io/cloudflare/cloudflare" {
   ]
 }
 
-provider "registry.terraform.io/hashicorp/google" {
-  version = "7.23.0"
+provider "registry.opentofu.org/hashicorp/google" {
+  version     = "7.23.0"
+  constraints = "~> 7.22"
   hashes = [
-    "h1:8NwMbqR/drRxeWfc1IG6yfvQeXesX8cFSpA0Pnpe+fk=",
-    "zh:23b834f436dec7132cc42fdbe6ab7d74fc574b7a86ec7a56f7be9d42911a3afc",
-    "zh:2f1e2db52a79ee913fef18f0a0445d8c1cbda4c253d7ffb2a7c1f2b87e84980c",
-    "zh:4903221645602f42c6b642275a748b85b9621f6a24a2417cc6424d68a46ca88c",
-    "zh:4cae4ab9dc9e6779437395a353e173b4eb697a06e29fbc1aefa0cf2f5b5e31cc",
-    "zh:50e6bf71226e688519f4fff24a925ff396495afbdbddadb9c960a291c351fe84",
-    "zh:67fe1762aff9d270624c8d5a002c527d37a0e0ccc3c5eea712dfed7d0ecc46ab",
-    "zh:7ae8fb0cc76fbca06cd4f32bacd69984152b8d4b34268546e295f1e28892af13",
-    "zh:b8ec2d6626bb0795aea3fc6db052e7d472777ce9838e92f4396826bcdbfc1880",
-    "zh:d5642b8d0e2dda6316379a7e128d724f604b0f8625f9ecc706c662d9f302c32b",
-    "zh:dfc8f2d943aeed758b89166a1c20d6af67ae692b9cae832a9048e0cfb1e01ff5",
-    "zh:e768422d524b19d7a327de97f9621c1abd5958d3787efa02c0c61bb164d3e925",
-    "zh:f569b65999264a9416862bca5cd2a6177d94ccb0424f3a4ef424428912b9cb3c",
+    "h1:jGXnEOK8/9rwnlWl0TbiSh3G3WrfA/e2+2baIb1LJr4=",
+    "zh:1a768420a7e3b01a5d19029298c5698710ebacdfe5b864a17d26d25888e5c1db",
+    "zh:25680f4e393370fcca30346d2b57339c14e47a11290d14c47ce34a799d791086",
+    "zh:25c8b34a06a41a649c6964d3646361e02959c4dc2366b450193129761d1e34c9",
+    "zh:2ff7e171acd4bb576977935c976211e34c7899a0e512ec1b1c84ca9a84a92c31",
+    "zh:333a4102e07bc60ee68b3378e9ca57d3e4fb1b538d01d2405f456e73c3dc33f6",
+    "zh:46e2f0b0ad65f74e02325528f3d6b066a97270c69826c719b45ac8c61a01782a",
+    "zh:5807ac3aceb8d18c66945b966e2780fd9af5ea236f8b5ad6baea8c16eefc7254",
+    "zh:75ed84c8596f037cd32186bcac23e5ef7d77d496a6e455ccb69ccbae920aad00",
+    "zh:7ff4fa5a5cf6cec2cb0992e2a6a8735b9b9d0784efe48da7e3d70a6f06aacf33",
+    "zh:84e3124864e14e9e8968783db6c39829d14293450e795e25490090ef31cb9044",
+    "zh:88001fff66a375a0b0b19b1362475e718455da0b9ae61043974fbe68a4e4cb03",
+    "zh:bedb354dd8d90e676d4126112788f7742f2e8f1ed8be49cdcc8c7fe5a9439f6b",
+    "zh:dbf0923ab3f54868752f5a05b0625e530da07436090325d1dcdc8d7b8f2a4695",
+    "zh:f469b8f3ffea5d54d86fb641708bf51c06fdba77a156c1f9b3d81910cb13f8d0",
+    "zh:f7d9a990aab859dc7a64f6939e8572035995070e1bdd96440e09649c7cc0011b",
   ]
 }
diff --git a/infra/environments/prod/main.tf b/infra/environments/prod/main.tf
index 6ffb7e14..156a6fc7 100644
--- a/infra/environments/prod/main.tf
+++ b/infra/environments/prod/main.tf
@@ -1,124 +1,36 @@
 provider "google" {
   project = var.project_id
-  region  = local.region
+  region  = var.region
 }
 
 provider "cloudflare" {
   api_token = var.cloudflare_api_token
 }
 
-locals {
-  stack_name = "${var.app_name}-prod"
-  region     = "asia-northeast1"
-
-  # 必要な GCP API 一覧
-  required_apis = [
-    "artifactregistry.googleapis.com",
-    "run.googleapis.com",
-    "secretmanager.googleapis.com",
-    "cloudtasks.googleapis.com",
-    "monitoring.googleapis.com",
-    "logging.googleapis.com",
-  ]
-}
-
-resource "google_project_service" "apis" {
-  for_each = toset(local.required_apis)
-
-  project                    = var.project_id
-  service                    = each.value
-  disable_on_destroy         = false
-  disable_dependent_services = false
-}
-
-module "service_account" {
-  source = "../../modules/service_account"
+module "devforge_stack" {
+  source = "../../modules/devforge_stack"
 
+  environment                    = "prod"
   project_id                     = var.project_id
-  stack_name                     = local.stack_name
+  app_name                       = var.app_name
+  template_version               = var.template_version
+  region                         = var.region
   deployer_service_account_email = var.deployer_service_account_email
 
-  depends_on = [google_project_service.apis]
-}
-
-module "artifact_registry" {
-  source = "../../modules/artifact_registry"
+  cors_origins        = var.cors_origins
+  callback_base_url   = var.callback_base_url
+  enable_github_oauth = var.enable_github_oauth
 
-  project_id = var.project_id
-  region     = local.region
-  stack_name = local.stack_name
+  alert_email = var.alert_email
 
-  depends_on = [google_project_service.apis]
-}
-
-module "cloud_tasks" {
-  source = "../../modules/cloud_tasks"
-
-  project_id = var.project_id
-  location   = local.region
-  queue_name = "devforge-ai-tasks-prod"
-
-  depends_on = [google_project_service.apis]
-}
-
-module "cloud_run" {
-  source = "../../modules/cloud_run"
+  upstash_redis_url   = var.upstash_redis_url
+  upstash_redis_token = var.upstash_redis_token
 
-  project_id                  = var.project_id
-  region                      = local.region
-  stack_name                  = local.stack_name
-  service_account_email       = module.service_account.email
-  enable_github_oauth         = var.enable_github_oauth
-  turso_database_url          = var.turso_database_url
-  cors_origins                = var.cors_origins
-  callback_base_url           = var.callback_base_url
-  environment                 = "prod"
-  task_runner                 = "cloud_tasks"
-  cloud_tasks_queue           = module.cloud_tasks.queue_name
-  cloud_tasks_location        = local.region
-  cloud_tasks_service_account = module.service_account.email
-  upstash_redis_url           = var.upstash_redis_url
-  upstash_redis_token         = var.upstash_redis_token
-
-  depends_on = [google_project_service.apis]
-}
-
-module "monitoring" {
-  source = "../../modules/monitoring"
-
-  project_id       = var.project_id
-  cloud_run_domain = replace(module.cloud_run.service_url, "https://", "")
-  alert_email      = var.alert_email
-
-  depends_on = [google_project_service.apis]
-}
-
-module "cloudflare" {
-  source = "../../modules/cloudflare"
-
-  cloudflare_account_id = var.cloudflare_account_id
-  cloudflare_zone_id    = var.cloudflare_zone_id
-  project_name          = var.cloudflare_pages_project_name
-  subdomain             = var.cloudflare_subdomain
-  production_branch     = "main"
-}
-
-output "stack_name" {
-  value = local.stack_name
-}
-
-output "template_version" {
-  value = var.template_version
-}
-
-output "artifact_registry_url" {
-  value = module.artifact_registry.url
-}
-
-output "cloudflare_pages_subdomain" {
-  value = module.cloudflare.pages_subdomain
-}
+  turso_database_url = var.turso_database_url
 
-output "cloudflare_pages_project_name" {
-  value = module.cloudflare.pages_project_name
+  cloudflare_account_id         = var.cloudflare_account_id
+  cloudflare_zone_id            = var.cloudflare_zone_id
+  cloudflare_pages_project_name = var.cloudflare_pages_project_name
+  cloudflare_subdomain          = var.cloudflare_subdomain
+  cloudflare_production_branch  = var.cloudflare_production_branch
 }
diff --git a/infra/environments/prod/moved.tf b/infra/environments/prod/moved.tf
deleted file mode 100644
index a28278b9..00000000
--- a/infra/environments/prod/moved.tf
+++ /dev/null
@@ -1,40 +0,0 @@
-# firebase モジュール廃止に伴い、deployer IAM を service_account モジュールへ移設
-moved {
-  from = module.firebase.google_project_iam_member.deployer_artifact_registry_writer[0]
-  to   = module.service_account.google_project_iam_member.deployer_artifact_registry_writer[0]
-}
-
-moved {
-  from = module.firebase.google_project_iam_member.deployer_run_developer[0]
-  to   = module.service_account.google_project_iam_member.deployer_run_developer[0]
-}
-
-moved {
-  from = module.resume_stack.google_service_account.app
-  to   = module.service_account.google_service_account.app
-}
-
-moved {
-  from = module.resume_stack.google_artifact_registry_repository.app
-  to   = module.artifact_registry.google_artifact_registry_repository.app
-}
-
-moved {
-  from = module.resume_stack.google_secret_manager_secret.app
-  to   = module.cloud_run.google_secret_manager_secret.app
-}
-
-moved {
-  from = module.resume_stack.google_secret_manager_secret_iam_member.app
-  to   = module.cloud_run.google_secret_manager_secret_iam_member.app
-}
-
-moved {
-  from = module.resume_stack.google_cloud_run_v2_service.app
-  to   = module.cloud_run.google_cloud_run_v2_service.app
-}
-
-moved {
-  from = module.resume_stack.google_cloud_run_v2_service_iam_member.public_access
-  to   = module.cloud_run.google_cloud_run_v2_service_iam_member.public_access
-}
diff --git a/infra/environments/prod/moved.tf b/infra/environments/prod/moved.tf
new file mode 120000
index 00000000..724ff01c
--- /dev/null
+++ b/infra/environments/prod/moved.tf
@@ -0,0 +1 @@
+../shared/moved.tf
\ No newline at end of file
diff --git a/infra/environments/prod/outputs.tf b/infra/environments/prod/outputs.tf
new file mode 120000
index 00000000..726bdc72
--- /dev/null
+++ b/infra/environments/prod/outputs.tf
@@ -0,0 +1 @@
+../shared/outputs.tf
\ No newline at end of file
diff --git a/infra/environments/prod/terraform.tfvars b/infra/environments/prod/terraform.tfvars
index 9e5b09af..204d4b61 100644
--- a/infra/environments/prod/terraform.tfvars
+++ b/infra/environments/prod/terraform.tfvars
@@ -3,5 +3,8 @@ app_name                       = "devforge"
 template_version               = "v0.1.0"
 cors_origins                   = "https://devforge-prod.web.app,https://devforge-prod.firebaseapp.com"
 callback_base_url              = "https://devforge-prod.web.app"
+cloudflare_pages_project_name  = "devforge"
+cloudflare_subdomain           = "app"
+cloudflare_production_branch   = "main"
 enable_github_oauth            = true
 deployer_service_account_email = "devforge-github-deploy@devforge-prod-20260404.iam.gserviceaccount.com"
diff --git a/infra/environments/prod/variables.tf b/infra/environments/prod/variables.tf
deleted file mode 100644
index 8cef66fc..00000000
--- a/infra/environments/prod/variables.tf
+++ /dev/null
@@ -1,94 +0,0 @@
-variable "project_id" {
-  description = "GCP project ID."
-  type        = string
-}
-
-variable "app_name" {
-  description = "Application name prefix."
-  type        = string
-}
-
-variable "deployer_service_account_email" {
-  description = "Optional deployer service account email that needs actAs on the runtime service account."
-  type        = string
-  default     = ""
-}
-
-variable "template_version" {
-  description = "Infrastructure template version."
-  type        = string
-}
-
-variable "cors_origins" {
-  description = "Allowed CORS origins for the API."
-  type        = string
-}
-
-variable "callback_base_url" {
-  description = "OAuth callback の base URL（例: https://app.devforge.app）。GitHub OAuth の redirect_uri を固定する。"
-  type        = string
-  default     = ""
-}
-
-variable "cloudflare_api_token" {
-  description = "Cloudflare API トークン。GitHub Secret → TF_VAR_cloudflare_api_token で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_account_id" {
-  description = "Cloudflare アカウント ID。GitHub Secret → TF_VAR_cloudflare_account_id で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_zone_id" {
-  description = "Cloudflare DNS ゾーン ID（devforge.app ドメイン）。GitHub Secret → TF_VAR_cloudflare_zone_id で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_pages_project_name" {
-  description = "Cloudflare Pages プロジェクト名（例: devforge）。"
-  type        = string
-  default     = "devforge"
-}
-
-variable "cloudflare_subdomain" {
-  description = "Cloudflare DNS レコード名（例: app）。app.devforge.app となる。"
-  type        = string
-  default     = "app"
-}
-
-variable "enable_github_oauth" {
-  description = "Whether to inject GitHub OAuth secrets into Cloud Run."
-  type        = bool
-  default     = false
-}
-
-variable "alert_email" {
-  description = "監視アラート通知先メールアドレス。GitHub Secret → TF_VAR_alert_email で注入する。"
-  type        = string
-  sensitive   = true
-}
-
-variable "upstash_redis_url" {
-  description = "Upstash Redis 接続 URL。GitHub Secret → TF_VAR_upstash_redis_url で注入する。"
-  type        = string
-  default     = ""
-}
-
-variable "upstash_redis_token" {
-  description = "Upstash Redis 認証トークン。GitHub Secret → TF_VAR_upstash_redis_token で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "turso_database_url" {
-  description = "Turso (libSQL) データベースの接続 URL（例: libsql://devforge-prod-xxxx.turso.io）。turso CLI で発行する。GitHub Secret → TF_VAR_turso_database_url で注入する。"
-  type        = string
-}
diff --git a/infra/environments/prod/variables.tf b/infra/environments/prod/variables.tf
new file mode 120000
index 00000000..c113c00a
--- /dev/null
+++ b/infra/environments/prod/variables.tf
@@ -0,0 +1 @@
+../shared/variables.tf
\ No newline at end of file
diff --git a/infra/environments/shared/moved.tf b/infra/environments/shared/moved.tf
new file mode 100644
index 00000000..cbe9c5e6
--- /dev/null
+++ b/infra/environments/shared/moved.tf
@@ -0,0 +1,102 @@
+# 既存の root module 直下の module 群を devforge_stack 配下へネストした移行。
+# pre-release で state が空でも、途中で state を残した環境があっても no-op へ寄せる。
+moved {
+  from = module.service_account
+  to   = module.devforge_stack.module.service_account
+}
+
+moved {
+  from = module.artifact_registry
+  to   = module.devforge_stack.module.artifact_registry
+}
+
+moved {
+  from = module.cloud_tasks
+  to   = module.devforge_stack.module.cloud_tasks
+}
+
+moved {
+  from = module.cloud_run
+  to   = module.devforge_stack.module.cloud_run
+}
+
+moved {
+  from = module.monitoring
+  to   = module.devforge_stack.module.monitoring
+}
+
+moved {
+  from = module.cloudflare
+  to   = module.devforge_stack.module.cloudflare
+}
+
+moved {
+  from = google_project_service.apis["artifactregistry.googleapis.com"]
+  to   = module.devforge_stack.google_project_service.apis["artifactregistry.googleapis.com"]
+}
+
+moved {
+  from = google_project_service.apis["run.googleapis.com"]
+  to   = module.devforge_stack.google_project_service.apis["run.googleapis.com"]
+}
+
+moved {
+  from = google_project_service.apis["secretmanager.googleapis.com"]
+  to   = module.devforge_stack.google_project_service.apis["secretmanager.googleapis.com"]
+}
+
+moved {
+  from = google_project_service.apis["cloudtasks.googleapis.com"]
+  to   = module.devforge_stack.google_project_service.apis["cloudtasks.googleapis.com"]
+}
+
+moved {
+  from = google_project_service.apis["monitoring.googleapis.com"]
+  to   = module.devforge_stack.google_project_service.apis["monitoring.googleapis.com"]
+}
+
+moved {
+  from = google_project_service.apis["logging.googleapis.com"]
+  to   = module.devforge_stack.google_project_service.apis["logging.googleapis.com"]
+}
+
+# firebase モジュール廃止に伴う古い address からの移行。
+moved {
+  from = module.firebase.google_project_iam_member.deployer_artifact_registry_writer[0]
+  to   = module.devforge_stack.module.service_account.google_project_iam_member.deployer_artifact_registry_writer[0]
+}
+
+moved {
+  from = module.firebase.google_project_iam_member.deployer_run_developer[0]
+  to   = module.devforge_stack.module.service_account.google_project_iam_member.deployer_run_developer[0]
+}
+
+moved {
+  from = module.resume_stack.google_service_account.app
+  to   = module.devforge_stack.module.service_account.google_service_account.app
+}
+
+moved {
+  from = module.resume_stack.google_artifact_registry_repository.app
+  to   = module.devforge_stack.module.artifact_registry.google_artifact_registry_repository.app
+}
+
+moved {
+  from = module.resume_stack.google_secret_manager_secret.app
+  to   = module.devforge_stack.module.cloud_run.google_secret_manager_secret.app
+}
+
+moved {
+  from = module.resume_stack.google_secret_manager_secret_iam_member.app
+  to   = module.devforge_stack.module.cloud_run.google_secret_manager_secret_iam_member.app
+}
+
+moved {
+  from = module.resume_stack.google_cloud_run_v2_service.app
+  to   = module.devforge_stack.module.cloud_run.google_cloud_run_v2_service.app
+}
+
+moved {
+  from = module.resume_stack.google_cloud_run_v2_service_iam_member.public_access
+  to   = module.devforge_stack.module.cloud_run.google_cloud_run_v2_service_iam_member.public_access
+}
diff --git a/infra/environments/shared/outputs.tf b/infra/environments/shared/outputs.tf
new file mode 100644
index 00000000..da7fe1bd
--- /dev/null
+++ b/infra/environments/shared/outputs.tf
@@ -0,0 +1,19 @@
+output "stack_name" {
+  value = module.devforge_stack.stack_name
+}
+
+output "template_version" {
+  value = var.template_version
+}
+
+output "artifact_registry_url" {
+  value = module.devforge_stack.artifact_registry_url
+}
+
+output "cloudflare_pages_subdomain" {
+  value = module.devforge_stack.cloudflare_pages_subdomain
+}
+
+output "cloudflare_pages_project_name" {
+  value = module.devforge_stack.cloudflare_pages_project_name
+}
diff --git a/infra/environments/shared/variables.tf b/infra/environments/shared/variables.tf
new file mode 100644
index 00000000..b14c21d8
--- /dev/null
+++ b/infra/environments/shared/variables.tf
@@ -0,0 +1,103 @@
+variable "project_id" {
+  description = "GCP project ID."
+  type        = string
+}
+
+variable "app_name" {
+  description = "Application name prefix."
+  type        = string
+}
+
+variable "region" {
+  description = "GCP region used by the environment."
+  type        = string
+  default     = "asia-northeast1"
+}
+
+variable "deployer_service_account_email" {
+  description = "Optional deployer service account email that needs actAs on the runtime service account."
+  type        = string
+  default     = ""
+}
+
+variable "template_version" {
+  description = "Infrastructure template version."
+  type        = string
+}
+
+variable "cors_origins" {
+  description = "Allowed CORS origins for the API."
+  type        = string
+}
+
+variable "callback_base_url" {
+  description = "OAuth callback base URL."
+  type        = string
+  default     = ""
+}
+
+variable "cloudflare_api_token" {
+  description = "Cloudflare API token injected via TF_VAR_cloudflare_api_token."
+  type        = string
+  sensitive   = true
+  default     = ""
+}
+
+variable "cloudflare_account_id" {
+  description = "Cloudflare account ID injected via TF_VAR_cloudflare_account_id."
+  type        = string
+  sensitive   = true
+  default     = ""
+}
+
+variable "cloudflare_zone_id" {
+  description = "Cloudflare DNS zone ID injected via TF_VAR_cloudflare_zone_id."
+  type        = string
+  sensitive   = true
+  default     = ""
+}
+
+variable "cloudflare_pages_project_name" {
+  description = "Cloudflare Pages project name for this environment."
+  type        = string
+}
+
+variable "cloudflare_subdomain" {
+  description = "Cloudflare DNS record name for this environment."
+  type        = string
+}
+
+variable "cloudflare_production_branch" {
+  description = "Cloudflare Pages production branch for this environment."
+  type        = string
+}
+
+variable "enable_github_oauth" {
+  description = "Whether to inject GitHub OAuth secrets into Cloud Run."
+  type        = bool
+  default     = false
+}
+
+variable "alert_email" {
+  description = "Monitoring alert destination email."
+  type        = string
+  sensitive   = true
+}
+
+variable "upstash_redis_url" {
+  description = "Upstash Redis URL injected via TF_VAR_upstash_redis_url."
+  type        = string
+  default     = ""
+}
+
+variable "upstash_redis_token" {
+  description = "Upstash Redis token injected via TF_VAR_upstash_redis_token."
+  type        = string
+  sensitive   = true
+  default     = ""
+}
+
+variable "turso_database_url" {
+  description = "Turso database URL injected via TF_VAR_turso_database_url."
+  type        = string
+}
diff --git a/infra/environments/stg/.terraform.lock.hcl b/infra/environments/stg/.terraform.lock.hcl
index 9e37125f..02563b8a 100644
--- a/infra/environments/stg/.terraform.lock.hcl
+++ b/infra/environments/stg/.terraform.lock.hcl
@@ -1,7 +1,7 @@
-# This file is maintained automatically by "terraform init".
+# This file is maintained automatically by "tofu init".
 # Manual edits may be lost in future updates.
 
-provider "registry.terraform.io/cloudflare/cloudflare" {
+provider "registry.opentofu.org/cloudflare/cloudflare" {
   version     = "4.52.7"
   constraints = "~> 4.0"
   hashes = [
@@ -24,21 +24,25 @@ provider "registry.terraform.io/cloudflare/cloudflare" {
   ]
 }
 
-provider "registry.terraform.io/hashicorp/google" {
-  version = "7.23.0"
+provider "registry.opentofu.org/hashicorp/google" {
+  version     = "7.23.0"
+  constraints = "~> 7.22"
   hashes = [
-    "h1:8NwMbqR/drRxeWfc1IG6yfvQeXesX8cFSpA0Pnpe+fk=",
-    "zh:23b834f436dec7132cc42fdbe6ab7d74fc574b7a86ec7a56f7be9d42911a3afc",
-    "zh:2f1e2db52a79ee913fef18f0a0445d8c1cbda4c253d7ffb2a7c1f2b87e84980c",
-    "zh:4903221645602f42c6b642275a748b85b9621f6a24a2417cc6424d68a46ca88c",
-    "zh:4cae4ab9dc9e6779437395a353e173b4eb697a06e29fbc1aefa0cf2f5b5e31cc",
-    "zh:50e6bf71226e688519f4fff24a925ff396495afbdbddadb9c960a291c351fe84",
-    "zh:67fe1762aff9d270624c8d5a002c527d37a0e0ccc3c5eea712dfed7d0ecc46ab",
-    "zh:7ae8fb0cc76fbca06cd4f32bacd69984152b8d4b34268546e295f1e28892af13",
-    "zh:b8ec2d6626bb0795aea3fc6db052e7d472777ce9838e92f4396826bcdbfc1880",
-    "zh:d5642b8d0e2dda6316379a7e128d724f604b0f8625f9ecc706c662d9f302c32b",
-    "zh:dfc8f2d943aeed758b89166a1c20d6af67ae692b9cae832a9048e0cfb1e01ff5",
-    "zh:e768422d524b19d7a327de97f9621c1abd5958d3787efa02c0c61bb164d3e925",
-    "zh:f569b65999264a9416862bca5cd2a6177d94ccb0424f3a4ef424428912b9cb3c",
+    "h1:jGXnEOK8/9rwnlWl0TbiSh3G3WrfA/e2+2baIb1LJr4=",
+    "zh:1a768420a7e3b01a5d19029298c5698710ebacdfe5b864a17d26d25888e5c1db",
+    "zh:25680f4e393370fcca30346d2b57339c14e47a11290d14c47ce34a799d791086",
+    "zh:25c8b34a06a41a649c6964d3646361e02959c4dc2366b450193129761d1e34c9",
+    "zh:2ff7e171acd4bb576977935c976211e34c7899a0e512ec1b1c84ca9a84a92c31",
+    "zh:333a4102e07bc60ee68b3378e9ca57d3e4fb1b538d01d2405f456e73c3dc33f6",
+    "zh:46e2f0b0ad65f74e02325528f3d6b066a97270c69826c719b45ac8c61a01782a",
+    "zh:5807ac3aceb8d18c66945b966e2780fd9af5ea236f8b5ad6baea8c16eefc7254",
+    "zh:75ed84c8596f037cd32186bcac23e5ef7d77d496a6e455ccb69ccbae920aad00",
+    "zh:7ff4fa5a5cf6cec2cb0992e2a6a8735b9b9d0784efe48da7e3d70a6f06aacf33",
+    "zh:84e3124864e14e9e8968783db6c39829d14293450e795e25490090ef31cb9044",
+    "zh:88001fff66a375a0b0b19b1362475e718455da0b9ae61043974fbe68a4e4cb03",
+    "zh:bedb354dd8d90e676d4126112788f7742f2e8f1ed8be49cdcc8c7fe5a9439f6b",
+    "zh:dbf0923ab3f54868752f5a05b0625e530da07436090325d1dcdc8d7b8f2a4695",
+    "zh:f469b8f3ffea5d54d86fb641708bf51c06fdba77a156c1f9b3d81910cb13f8d0",
+    "zh:f7d9a990aab859dc7a64f6939e8572035995070e1bdd96440e09649c7cc0011b",
   ]
 }
diff --git a/infra/environments/stg/main.tf b/infra/environments/stg/main.tf
index c495c859..5363e31d 100644
--- a/infra/environments/stg/main.tf
+++ b/infra/environments/stg/main.tf
@@ -1,124 +1,36 @@
 provider "google" {
   project = var.project_id
-  region  = local.region
+  region  = var.region
 }
 
 provider "cloudflare" {
   api_token = var.cloudflare_api_token
 }
 
-locals {
-  stack_name = "${var.app_name}-stg"
-  region     = "asia-northeast1"
-
-  # 必要な GCP API 一覧
-  required_apis = [
-    "artifactregistry.googleapis.com",
-    "run.googleapis.com",
-    "secretmanager.googleapis.com",
-    "cloudtasks.googleapis.com",
-    "monitoring.googleapis.com",
-    "logging.googleapis.com",
-  ]
-}
-
-resource "google_project_service" "apis" {
-  for_each = toset(local.required_apis)
-
-  project                    = var.project_id
-  service                    = each.value
-  disable_on_destroy         = false
-  disable_dependent_services = false
-}
-
-module "service_account" {
-  source = "../../modules/service_account"
+module "devforge_stack" {
+  source = "../../modules/devforge_stack"
 
+  environment                    = "stg"
   project_id                     = var.project_id
-  stack_name                     = local.stack_name
+  app_name                       = var.app_name
+  template_version               = var.template_version
+  region                         = var.region
   deployer_service_account_email = var.deployer_service_account_email
 
-  depends_on = [google_project_service.apis]
-}
-
-module "artifact_registry" {
-  source = "../../modules/artifact_registry"
+  cors_origins        = var.cors_origins
+  callback_base_url   = var.callback_base_url
+  enable_github_oauth = var.enable_github_oauth
 
-  project_id = var.project_id
-  region     = local.region
-  stack_name = local.stack_name
+  alert_email = var.alert_email
 
-  depends_on = [google_project_service.apis]
-}
-
-module "cloud_tasks" {
-  source = "../../modules/cloud_tasks"
-
-  project_id = var.project_id
-  location   = local.region
-  queue_name = "devforge-ai-tasks-stg"
-
-  depends_on = [google_project_service.apis]
-}
-
-module "cloud_run" {
-  source = "../../modules/cloud_run"
+  upstash_redis_url   = var.upstash_redis_url
+  upstash_redis_token = var.upstash_redis_token
 
-  project_id                  = var.project_id
-  region                      = local.region
-  stack_name                  = local.stack_name
-  service_account_email       = module.service_account.email
-  enable_github_oauth         = var.enable_github_oauth
-  turso_database_url          = var.turso_database_url
-  cors_origins                = var.cors_origins
-  callback_base_url           = var.callback_base_url
-  environment                 = "stg"
-  task_runner                 = "cloud_tasks"
-  cloud_tasks_queue           = module.cloud_tasks.queue_name
-  cloud_tasks_location        = local.region
-  cloud_tasks_service_account = module.service_account.email
-  upstash_redis_url           = var.upstash_redis_url
-  upstash_redis_token         = var.upstash_redis_token
-
-  depends_on = [google_project_service.apis]
-}
-
-module "monitoring" {
-  source = "../../modules/monitoring"
-
-  project_id       = var.project_id
-  cloud_run_domain = replace(module.cloud_run.service_url, "https://", "")
-  alert_email      = var.alert_email
-
-  depends_on = [google_project_service.apis]
-}
-
-module "cloudflare" {
-  source = "../../modules/cloudflare"
-
-  cloudflare_account_id = var.cloudflare_account_id
-  cloudflare_zone_id    = var.cloudflare_zone_id
-  project_name          = var.cloudflare_pages_project_name
-  subdomain             = var.cloudflare_subdomain
-  production_branch     = "stg"
-}
-
-output "stack_name" {
-  value = local.stack_name
-}
-
-output "template_version" {
-  value = var.template_version
-}
-
-output "artifact_registry_url" {
-  value = module.artifact_registry.url
-}
-
-output "cloudflare_pages_subdomain" {
-  value = module.cloudflare.pages_subdomain
-}
+  turso_database_url = var.turso_database_url
 
-output "cloudflare_pages_project_name" {
-  value = module.cloudflare.pages_project_name
+  cloudflare_account_id         = var.cloudflare_account_id
+  cloudflare_zone_id            = var.cloudflare_zone_id
+  cloudflare_pages_project_name = var.cloudflare_pages_project_name
+  cloudflare_subdomain          = var.cloudflare_subdomain
+  cloudflare_production_branch  = var.cloudflare_production_branch
 }
diff --git a/infra/environments/stg/moved.tf b/infra/environments/stg/moved.tf
deleted file mode 100644
index a28278b9..00000000
--- a/infra/environments/stg/moved.tf
+++ /dev/null
@@ -1,40 +0,0 @@
-# firebase モジュール廃止に伴い、deployer IAM を service_account モジュールへ移設
-moved {
-  from = module.firebase.google_project_iam_member.deployer_artifact_registry_writer[0]
-  to   = module.service_account.google_project_iam_member.deployer_artifact_registry_writer[0]
-}
-
-moved {
-  from = module.firebase.google_project_iam_member.deployer_run_developer[0]
-  to   = module.service_account.google_project_iam_member.deployer_run_developer[0]
-}
-
-moved {
-  from = module.resume_stack.google_service_account.app
-  to   = module.service_account.google_service_account.app
-}
-
-moved {
-  from = module.resume_stack.google_artifact_registry_repository.app
-  to   = module.artifact_registry.google_artifact_registry_repository.app
-}
-
-moved {
-  from = module.resume_stack.google_secret_manager_secret.app
-  to   = module.cloud_run.google_secret_manager_secret.app
-}
-
-moved {
-  from = module.resume_stack.google_secret_manager_secret_iam_member.app
-  to   = module.cloud_run.google_secret_manager_secret_iam_member.app
-}
-
-moved {
-  from = module.resume_stack.google_cloud_run_v2_service.app
-  to   = module.cloud_run.google_cloud_run_v2_service.app
-}
-
-moved {
-  from = module.resume_stack.google_cloud_run_v2_service_iam_member.public_access
-  to   = module.cloud_run.google_cloud_run_v2_service_iam_member.public_access
-}
diff --git a/infra/environments/stg/moved.tf b/infra/environments/stg/moved.tf
new file mode 120000
index 00000000..724ff01c
--- /dev/null
+++ b/infra/environments/stg/moved.tf
@@ -0,0 +1 @@
+../shared/moved.tf
\ No newline at end of file
diff --git a/infra/environments/stg/outputs.tf b/infra/environments/stg/outputs.tf
new file mode 120000
index 00000000..726bdc72
--- /dev/null
+++ b/infra/environments/stg/outputs.tf
@@ -0,0 +1 @@
+../shared/outputs.tf
\ No newline at end of file
diff --git a/infra/environments/stg/terraform.tfvars b/infra/environments/stg/terraform.tfvars
index 369dbd4f..9ba971f8 100644
--- a/infra/environments/stg/terraform.tfvars
+++ b/infra/environments/stg/terraform.tfvars
@@ -3,5 +3,8 @@ app_name                       = "devforge"
 template_version               = "v0.1.0"
 cors_origins                   = "https://devforge-stg.web.app,https://devforge-stg.firebaseapp.com"
 callback_base_url              = "https://devforge-stg.web.app"
+cloudflare_pages_project_name  = "devforge-stg"
+cloudflare_subdomain           = "app-stg"
+cloudflare_production_branch   = "stg"
 enable_github_oauth            = true
 deployer_service_account_email = "devforge-github-deploy@devforge-stg-20260404.iam.gserviceaccount.com"
diff --git a/infra/environments/stg/variables.tf b/infra/environments/stg/variables.tf
deleted file mode 100644
index 4422a779..00000000
--- a/infra/environments/stg/variables.tf
+++ /dev/null
@@ -1,94 +0,0 @@
-variable "project_id" {
-  description = "GCP project ID."
-  type        = string
-}
-
-variable "app_name" {
-  description = "Application name prefix."
-  type        = string
-}
-
-variable "deployer_service_account_email" {
-  description = "Optional deployer service account email that needs actAs on the runtime service account."
-  type        = string
-  default     = ""
-}
-
-variable "template_version" {
-  description = "Infrastructure template version."
-  type        = string
-}
-
-variable "cors_origins" {
-  description = "Allowed CORS origins for the API."
-  type        = string
-}
-
-variable "callback_base_url" {
-  description = "OAuth callback の base URL（例: https://app.devforge.app）。GitHub OAuth の redirect_uri を固定する。"
-  type        = string
-  default     = ""
-}
-
-variable "cloudflare_api_token" {
-  description = "Cloudflare API トークン。GitHub Secret → TF_VAR_cloudflare_api_token で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_account_id" {
-  description = "Cloudflare アカウント ID。GitHub Secret → TF_VAR_cloudflare_account_id で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_zone_id" {
-  description = "Cloudflare DNS ゾーン ID（devforge.app ドメイン）。GitHub Secret → TF_VAR_cloudflare_zone_id で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "cloudflare_pages_project_name" {
-  description = "Cloudflare Pages プロジェクト名（例: devforge-stg）。"
-  type        = string
-  default     = "devforge-stg"
-}
-
-variable "cloudflare_subdomain" {
-  description = "Cloudflare DNS レコード名（例: app-stg）。{subdomain}.devforge.app となる。"
-  type        = string
-  default     = "app-stg"
-}
-
-variable "enable_github_oauth" {
-  description = "Whether to inject GitHub OAuth secrets into Cloud Run."
-  type        = bool
-  default     = false
-}
-
-variable "alert_email" {
-  description = "監視アラート通知先メールアドレス。GitHub Secret → TF_VAR_alert_email で注入する。"
-  type        = string
-  sensitive   = true
-}
-
-variable "upstash_redis_url" {
-  description = "Upstash Redis 接続 URL。GitHub Secret → TF_VAR_upstash_redis_url で注入する。"
-  type        = string
-  default     = ""
-}
-
-variable "upstash_redis_token" {
-  description = "Upstash Redis 認証トークン。GitHub Secret → TF_VAR_upstash_redis_token で注入する。"
-  type        = string
-  sensitive   = true
-  default     = ""
-}
-
-variable "turso_database_url" {
-  description = "Turso (libSQL) データベースの接続 URL（例: libsql://devforge-stg-xxxx.turso.io）。turso CLI で発行する。GitHub Secret → TF_VAR_turso_database_url で注入する。"
-  type        = string
-}
diff --git a/infra/environments/stg/variables.tf b/infra/environments/stg/variables.tf
new file mode 120000
index 00000000..c113c00a
--- /dev/null
+++ b/infra/environments/stg/variables.tf
@@ -0,0 +1 @@
+../shared/variables.tf
\ No newline at end of file
diff --git a/infra/modules/cloud_tasks/main.tf b/infra/modules/cloud_tasks/main.tf
index ce0e38da..41e7a33a 100644
--- a/infra/modules/cloud_tasks/main.tf
+++ b/infra/modules/cloud_tasks/main.tf
@@ -1,5 +1,9 @@
+locals {
+  queue_name = "${var.app_name}-ai-tasks-${var.environment}"
+}
+
 resource "google_cloud_tasks_queue" "ai_tasks" {
-  name     = var.queue_name
+  name     = local.queue_name
   location = var.location
   project  = var.project_id
 
diff --git a/infra/modules/cloud_tasks/variables.tf b/infra/modules/cloud_tasks/variables.tf
index e2b9d01c..63c449ef 100644
--- a/infra/modules/cloud_tasks/variables.tf
+++ b/infra/modules/cloud_tasks/variables.tf
@@ -3,14 +3,18 @@ variable "project_id" {
   type        = string
 }
 
-variable "location" {
-  description = "Cloud Tasks キューのロケーション"
+variable "app_name" {
+  description = "アプリケーション名 prefix"
   type        = string
-  default     = "asia-northeast1"
 }
 
-variable "queue_name" {
-  description = "Cloud Tasks キュー名"
+variable "environment" {
+  description = "環境名 suffix"
   type        = string
-  default     = "devforge-ai-tasks"
+}
+
+variable "location" {
+  description = "Cloud Tasks キューのロケーション"
+  type        = string
+  default     = "asia-northeast1"
 }
diff --git a/infra/modules/devforge_stack/main.tf b/infra/modules/devforge_stack/main.tf
index 417d26e9..029b8fff 100644
--- a/infra/modules/devforge_stack/main.tf
+++ b/infra/modules/devforge_stack/main.tf
@@ -52,9 +52,10 @@ module "artifact_registry" {
 module "cloud_tasks" {
   source = "../cloud_tasks"
 
-  project_id = var.project_id
-  location   = var.region
-  queue_name = "devforge-ai-tasks-${var.environment}"
+  project_id  = var.project_id
+  app_name    = var.app_name
+  environment = var.environment
+  location    = var.region
 
   depends_on = [google_project_service.apis]
 }
diff --git a/infra/modules/devforge_stack/variables.tf b/infra/modules/devforge_stack/variables.tf
index 5ea2bb78..031e4aa0 100644
--- a/infra/modules/devforge_stack/variables.tf
+++ b/infra/modules/devforge_stack/variables.tf
@@ -30,7 +30,7 @@ variable "region" {
 }
 
 variable "template_version" {
-  description = "Infrastructure template version。"
+  description = "Infrastructure template version（環境 output・ドキュメント用。リソース定義では未使用）。"
   type        = string
 }
 
diff --git a/infra/modules/monitoring/auth_failures.tf b/infra/modules/monitoring/auth_failures.tf
new file mode 100644
index 00000000..0c8fd7b7
--- /dev/null
+++ b/infra/modules/monitoring/auth_failures.tf
@@ -0,0 +1,76 @@
+# --------------------------------------------------
+# ログベースメトリクス: 認証失敗検知
+# auth.py の _raise_auth_failed が出力する WARNING ログを集計する。
+# reason ラベルにより jwt_decode_error / missing_cookie / user_not_found 等を
+# Cloud Monitoring 側で分解できる。
+# --------------------------------------------------
+resource "google_logging_metric" "auth_failed" {
+  project = var.project_id
+  name    = "devforge/auth_failed"
+  filter  = <<-EOT
+    resource.type="cloud_run_revision"
+    severity="WARNING"
+    jsonPayload.message="auth_failed"
+  EOT
+
+  metric_descriptor {
+    metric_kind = "DELTA"
+    value_type  = "INT64"
+    labels {
+      key         = "reason"
+      value_type  = "STRING"
+      description = "認証失敗の理由（jwt_decode_error / missing_cookie / user_not_found 等）"
+    }
+  }
+  label_extractors = {
+    "reason" = "EXTRACT(jsonPayload.reason)"
+  }
+}
+
+# --------------------------------------------------
+# アラートポリシー: 認証失敗の急増
+# 1 万リクエスト級のブルートフォース攻撃検知用。
+# 5 分間に 1,000 件超で発火（= 平均 200/min 持続）。
+# --------------------------------------------------
+resource "google_monitoring_alert_policy" "auth_failed_alert" {
+  project      = var.project_id
+  display_name = "DevForge Auth Failed Surge"
+  combiner     = "OR"
+
+  conditions {
+    display_name = "auth_failed > 1000 / 5min"
+    condition_threshold {
+      filter          = "metric.type=\"logging.googleapis.com/user/devforge/auth_failed\" AND resource.type=\"cloud_run_revision\""
+      comparison      = "COMPARISON_GT"
+      threshold_value = 1000
+      duration        = "60s"
+
+      aggregations {
+        alignment_period   = "300s"
+        per_series_aligner = "ALIGN_COUNT"
+      }
+    }
+  }
+
+  alert_strategy {
+    auto_close = "1800s"
+  }
+
+  documentation {
+    content   = <<-EOT
+      認証失敗（auth_failed）が 5 分間に 1,000 件を超えました。
+      ブルートフォース攻撃の可能性があります。
+
+      初動:
+      1. Cloud Logging で `jsonPayload.message="auth_failed"` をフィルタ
+      2. `jsonPayload.client_ip` でグルーピングし攻撃元 IP を特定
+      3. `jsonPayload.path` / `jsonPayload.reason` から狙われている経路を特定
+      4. 必要なら Cloud Run の ingress 制限・GCP Armor で IP ブロック
+
+      runbook: docs/runbooks/alert-policies.md
+    EOT
+    mime_type = "text/markdown"
+  }
+
+  notification_channels = [google_monitoring_notification_channel.email.name]
+}
diff --git a/infra/modules/monitoring/main.tf b/infra/modules/monitoring/main.tf
deleted file mode 100644
index ceb8acb1..00000000
--- a/infra/modules/monitoring/main.tf
+++ /dev/null
@@ -1,248 +0,0 @@
-# --------------------------------------------------
-# 通知チャンネル: メール（無料）
-# --------------------------------------------------
-resource "google_monitoring_notification_channel" "email" {
-  project      = var.project_id
-  display_name = "DevForge Alert Email"
-  type         = "email"
-  labels = {
-    email_address = var.alert_email
-  }
-}
-
-# --------------------------------------------------
-# Uptime Check（無料枠: 月 1M チェックまで）
-# 5分間隔で /health を監視する
-# --------------------------------------------------
-resource "google_monitoring_uptime_check_config" "api_health" {
-  project      = var.project_id
-  display_name = "DevForge API Health"
-  timeout      = "10s"
-  period       = "300s"
-
-  http_check {
-    path         = "/health"
-    port         = "443"
-    use_ssl      = true
-    validate_ssl = true
-  }
-
-  monitored_resource {
-    type = "uptime_url"
-    labels = {
-      project_id = var.project_id
-      host       = var.cloud_run_domain
-    }
-  }
-}
-
-# --------------------------------------------------
-# アラートポリシー: Uptime Check 失敗
-# --------------------------------------------------
-resource "google_monitoring_alert_policy" "uptime_failure" {
-  project      = var.project_id
-  display_name = "DevForge API Down"
-  combiner     = "OR"
-
-  conditions {
-    display_name = "Uptime check failure"
-    condition_threshold {
-      filter          = "metric.type=\"monitoring.googleapis.com/uptime_check/check_passed\" AND resource.type=\"uptime_url\""
-      comparison      = "COMPARISON_LT"
-      threshold_value = 1
-      duration        = "300s"
-
-      aggregations {
-        alignment_period   = "300s"
-        per_series_aligner = "ALIGN_NEXT_OLDER"
-      }
-    }
-  }
-
-  notification_channels = [google_monitoring_notification_channel.email.name]
-}
-
-# --------------------------------------------------
-# ログベースメトリクス: タスク失敗検知
-# --------------------------------------------------
-resource "google_logging_metric" "task_failed" {
-  project = var.project_id
-  name    = "devforge/task_failed"
-  filter  = "jsonPayload.status=\"failed\""
-
-  metric_descriptor {
-    metric_kind = "DELTA"
-    value_type  = "INT64"
-  }
-}
-
-# --------------------------------------------------
-# アラートポリシー: タスク失敗
-# --------------------------------------------------
-resource "google_monitoring_alert_policy" "task_failed_alert" {
-  project      = var.project_id
-  display_name = "DevForge Task Failed"
-  combiner     = "OR"
-
-  conditions {
-    display_name = "Task failure detected"
-    condition_threshold {
-      filter          = "metric.type=\"logging.googleapis.com/user/devforge/task_failed\" AND resource.type=\"cloud_run_revision\""
-      comparison      = "COMPARISON_GT"
-      threshold_value = 0
-      duration        = "0s"
-
-      aggregations {
-        alignment_period   = "60s"
-        per_series_aligner = "ALIGN_COUNT"
-      }
-    }
-  }
-
-  notification_channels = [google_monitoring_notification_channel.email.name]
-}
-
-# --------------------------------------------------
-# ログベースメトリクス: 認証失敗検知
-# auth.py の _raise_auth_failed が出力する WARNING ログを集計する。
-# reason ラベルにより jwt_decode_error / missing_cookie / user_not_found 等を
-# Cloud Monitoring 側で分解できる。
-# --------------------------------------------------
-resource "google_logging_metric" "auth_failed" {
-  project = var.project_id
-  name    = "devforge/auth_failed"
-  filter  = <<-EOT
-    resource.type="cloud_run_revision"
-    severity="WARNING"
-    jsonPayload.message="auth_failed"
-  EOT
-
-  metric_descriptor {
-    metric_kind = "DELTA"
-    value_type  = "INT64"
-    labels {
-      key         = "reason"
-      value_type  = "STRING"
-      description = "認証失敗の理由（jwt_decode_error / missing_cookie / user_not_found 等）"
-    }
-  }
-  label_extractors = {
-    "reason" = "EXTRACT(jsonPayload.reason)"
-  }
-}
-
-# --------------------------------------------------
-# アラートポリシー: 認証失敗の急増
-# 1 万リクエスト級のブルートフォース攻撃検知用。
-# 5 分間に 1,000 件超で発火（= 平均 200/min 持続）。
-# --------------------------------------------------
-resource "google_monitoring_alert_policy" "auth_failed_alert" {
-  project      = var.project_id
-  display_name = "DevForge Auth Failed Surge"
-  combiner     = "OR"
-
-  conditions {
-    display_name = "auth_failed > 1000 / 5min"
-    condition_threshold {
-      filter          = "metric.type=\"logging.googleapis.com/user/devforge/auth_failed\" AND resource.type=\"cloud_run_revision\""
-      comparison      = "COMPARISON_GT"
-      threshold_value = 1000
-      duration        = "60s"
-
-      aggregations {
-        alignment_period   = "300s"
-        per_series_aligner = "ALIGN_COUNT"
-      }
-    }
-  }
-
-  alert_strategy {
-    auto_close = "1800s"
-  }
-
-  documentation {
-    content   = <<-EOT
-      認証失敗（auth_failed）が 5 分間に 1,000 件を超えました。
-      ブルートフォース攻撃の可能性があります。
-
-      初動:
-      1. Cloud Logging で `jsonPayload.message="auth_failed"` をフィルタ
-      2. `jsonPayload.client_ip` でグルーピングし攻撃元 IP を特定
-      3. `jsonPayload.path` / `jsonPayload.reason` から狙われている経路を特定
-      4. 必要なら Cloud Run の ingress 制限・GCP Armor で IP ブロック
-
-      runbook: docs/runbooks/alert-policies.md
-    EOT
-    mime_type = "text/markdown"
-  }
-
-  notification_channels = [google_monitoring_notification_channel.email.name]
-}
-
-# --------------------------------------------------
-# ログベースメトリクス: レートリミット超過検知
-# main.py の _rate_limit_handler が出力する 429 WARNING ログを集計する。
-# slowapi の default_limits (300/min) または個別 @limiter.limit に
-# 引っかかったリクエストすべてを含む。
-# --------------------------------------------------
-resource "google_logging_metric" "rate_limit_exceeded" {
-  project = var.project_id
-  name    = "devforge/rate_limit_exceeded"
-  filter  = <<-EOT
-    resource.type="cloud_run_revision"
-    severity="WARNING"
-    jsonPayload.message="rate_limit_exceeded"
-  EOT
-
-  metric_descriptor {
-    metric_kind = "DELTA"
-    value_type  = "INT64"
-  }
-}
-
-# --------------------------------------------------
-# アラートポリシー: レートリミット連発
-# 5 分間に 500 件超で発火（攻撃が遮断されている状態の検知）。
-# auth_failed_alert より閾値を低くし、攻撃が遮断中であることを早期に把握できるようにする。
-# --------------------------------------------------
-resource "google_monitoring_alert_policy" "rate_limit_exceeded_alert" {
-  project      = var.project_id
-  display_name = "DevForge Rate Limit Surge"
-  combiner     = "OR"
-
-  conditions {
-    display_name = "rate_limit_exceeded > 500 / 5min"
-    condition_threshold {
-      filter          = "metric.type=\"logging.googleapis.com/user/devforge/rate_limit_exceeded\" AND resource.type=\"cloud_run_revision\""
-      comparison      = "COMPARISON_GT"
-      threshold_value = 500
-      duration        = "60s"
-
-      aggregations {
-        alignment_period   = "300s"
-        per_series_aligner = "ALIGN_COUNT"
-      }
-    }
-  }
-
-  alert_strategy {
-    auto_close = "1800s"
-  }
-
-  documentation {
-    content   = <<-EOT
-      レートリミット超過（429）が 5 分間に 500 件を超えました。
-      攻撃が slowapi で自動遮断されている状態です。
-
-      初動:
-      1. Cloud Logging で `jsonPayload.message="rate_limit_exceeded"` をフィルタ
-      2. `jsonPayload.client_ip` で攻撃元 IP を特定
-      3. 必要なら GCP Armor で恒久ブロック
-
-      runbook: docs/runbooks/alert-policies.md
-    EOT
-    mime_type = "text/markdown"
-  }
-
-  notification_channels = [google_monitoring_notification_channel.email.name]
-}
diff --git a/infra/modules/monitoring/notification_channels.tf b/infra/modules/monitoring/notification_channels.tf
new file mode 100644
index 00000000..1e3eec4d
--- /dev/null
+++ b/infra/modules/monitoring/notification_channels.tf
@@ -0,0 +1,11 @@
+# --------------------------------------------------
+# 通知チャンネル: メール（無料）
+# --------------------------------------------------
+resource "google_monitoring_notification_channel" "email" {
+  project      = var.project_id
+  display_name = "DevForge Alert Email"
+  type         = "email"
+  labels = {
+    email_address = var.alert_email
+  }
+}
diff --git a/infra/modules/monitoring/rate_limits.tf b/infra/modules/monitoring/rate_limits.tf
new file mode 100644
index 00000000..a3f924d1
--- /dev/null
+++ b/infra/modules/monitoring/rate_limits.tf
@@ -0,0 +1,67 @@
+# --------------------------------------------------
+# ログベースメトリクス: レートリミット超過検知
+# main.py の _rate_limit_handler が出力する 429 WARNING ログを集計する。
+# slowapi の default_limits (300/min) または個別 @limiter.limit に
+# 引っかかったリクエストすべてを含む。
+# --------------------------------------------------
+resource "google_logging_metric" "rate_limit_exceeded" {
+  project = var.project_id
+  name    = "devforge/rate_limit_exceeded"
+  filter  = <<-EOT
+    resource.type="cloud_run_revision"
+    severity="WARNING"
+    jsonPayload.message="rate_limit_exceeded"
+  EOT
+
+  metric_descriptor {
+    metric_kind = "DELTA"
+    value_type  = "INT64"
+  }
+}
+
+# --------------------------------------------------
+# アラートポリシー: レートリミット連発
+# 5 分間に 500 件超で発火（攻撃が遮断されている状態の検知）。
+# auth_failed_alert より閾値を低くし、攻撃が遮断中であることを早期に把握できるようにする。
+# --------------------------------------------------
+resource "google_monitoring_alert_policy" "rate_limit_exceeded_alert" {
+  project      = var.project_id
+  display_name = "DevForge Rate Limit Surge"
+  combiner     = "OR"
+
+  conditions {
+    display_name = "rate_limit_exceeded > 500 / 5min"
+    condition_threshold {
+      filter          = "metric.type=\"logging.googleapis.com/user/devforge/rate_limit_exceeded\" AND resource.type=\"cloud_run_revision\""
+      comparison      = "COMPARISON_GT"
+      threshold_value = 500
+      duration        = "60s"
+
+      aggregations {
+        alignment_period   = "300s"
+        per_series_aligner = "ALIGN_COUNT"
+      }
+    }
+  }
+
+  alert_strategy {
+    auto_close = "1800s"
+  }
+
+  documentation {
+    content   = <<-EOT
+      レートリミット超過（429）が 5 分間に 500 件を超えました。
+      攻撃が slowapi で自動遮断されている状態です。
+
+      初動:
+      1. Cloud Logging で `jsonPayload.message="rate_limit_exceeded"` をフィルタ
+      2. `jsonPayload.client_ip` で攻撃元 IP を特定
+      3. 必要なら GCP Armor で恒久ブロック
+
+      runbook: docs/runbooks/alert-policies.md
+    EOT
+    mime_type = "text/markdown"
+  }
+
+  notification_channels = [google_monitoring_notification_channel.email.name]
+}
diff --git a/infra/modules/monitoring/task_failures.tf b/infra/modules/monitoring/task_failures.tf
new file mode 100644
index 00000000..92bf52b7
--- /dev/null
+++ b/infra/modules/monitoring/task_failures.tf
@@ -0,0 +1,39 @@
+# --------------------------------------------------
+# ログベースメトリクス: タスク失敗検知
+# --------------------------------------------------
+resource "google_logging_metric" "task_failed" {
+  project = var.project_id
+  name    = "devforge/task_failed"
+  filter  = "jsonPayload.status=\"failed\""
+
+  metric_descriptor {
+    metric_kind = "DELTA"
+    value_type  = "INT64"
+  }
+}
+
+# --------------------------------------------------
+# アラートポリシー: タスク失敗
+# --------------------------------------------------
+resource "google_monitoring_alert_policy" "task_failed_alert" {
+  project      = var.project_id
+  display_name = "DevForge Task Failed"
+  combiner     = "OR"
+
+  conditions {
+    display_name = "Task failure detected"
+    condition_threshold {
+      filter          = "metric.type=\"logging.googleapis.com/user/devforge/task_failed\" AND resource.type=\"cloud_run_revision\""
+      comparison      = "COMPARISON_GT"
+      threshold_value = 0
+      duration        = "0s"
+
+      aggregations {
+        alignment_period   = "60s"
+        per_series_aligner = "ALIGN_COUNT"
+      }
+    }
+  }
+
+  notification_channels = [google_monitoring_notification_channel.email.name]
+}
diff --git a/infra/modules/monitoring/uptime.tf b/infra/modules/monitoring/uptime.tf
new file mode 100644
index 00000000..3ee8db87
--- /dev/null
+++ b/infra/modules/monitoring/uptime.tf
@@ -0,0 +1,51 @@
+# --------------------------------------------------
+# Uptime Check（無料枠: 月 1M チェックまで）
+# 5分間隔で /health を監視する
+# --------------------------------------------------
+resource "google_monitoring_uptime_check_config" "api_health" {
+  project      = var.project_id
+  display_name = "DevForge API Health"
+  timeout      = "10s"
+  period       = "300s"
+
+  http_check {
+    path         = "/health"
+    port         = "443"
+    use_ssl      = true
+    validate_ssl = true
+  }
+
+  monitored_resource {
+    type = "uptime_url"
+    labels = {
+      project_id = var.project_id
+      host       = var.cloud_run_domain
+    }
+  }
+}
+
+# --------------------------------------------------
+# アラートポリシー: Uptime Check 失敗
+# --------------------------------------------------
+resource "google_monitoring_alert_policy" "uptime_failure" {
+  project      = var.project_id
+  display_name = "DevForge API Down"
+  combiner     = "OR"
+
+  conditions {
+    display_name = "Uptime check failure"
+    condition_threshold {
+      filter          = "metric.type=\"monitoring.googleapis.com/uptime_check/check_passed\" AND resource.type=\"uptime_url\""
+      comparison      = "COMPARISON_LT"
+      threshold_value = 1
+      duration        = "300s"
+
+      aggregations {
+        alignment_period   = "300s"
+        per_series_aligner = "ALIGN_NEXT_OLDER"
+      }
+    }
+  }
+
+  notification_channels = [google_monitoring_notification_channel.email.name]
+}