Vercel、Vary: Cookie付きレスポンスをCDNでキャッシュしない仕様に変更

何が発表されたか

Vercelは2026年9月30日、CDNのキャッシュ挙動を変更したと公表した。

• オリジンのレスポンスヘッダーに Vary: Cookie が含まれている場合、VercelのCDNはそのレスポンスを保存しなくなった
• レスポンス自体は従来どおり配信される。保存されなくなるため、次回以降のリクエストで再利用されない
• 理由として、Cookieには訪問者ごとに異なる値が入ることが多く、Cookie で分岐させると「ほとんど再利用されないキャッシュエントリが大量に生成される」ことを挙げている

確認方法

• レスポンスの x-vercel-cache ヘッダーが MISS になる
• Runtime Logs にキャッシュ理由として vary_key_denied:cookie が表示される

開発者への影響

対応は2通り示されている。

• Cookieの有無でレスポンスが変わらない場合: Vary から Cookie を外す。これでCDNキャッシュが再び効くようになる
• Cookieによってレスポンスが変わる場合: Cache-Control: private を付ける。共有CDNキャッシュにパーソナライズされた内容が載るのを防ぐ

実務上の注意点は次のとおり。

• フレームワークやミドルウェア、認証ライブラリが自動的に Vary: Cookie を付けているケースがある。意図せず該当している可能性があるため、まず x-vercel-cache を確認したい
• 該当していた場合、これまでキャッシュされていたページがオリジンに到達するようになる。表示が壊れるわけではないが、応答時間とファンクション実行数に影響しうる
• 逆に、Cookieで内容が変わるページが共有キャッシュに載っていた状態は情報漏えいのリスクを含む。Cache-Control: private の付与は、その観点でも確認する価値がある

適用期限や移行猶予については本告知では示されていない。