すべての SaaS 顧客に独自のコンテンツスペースを与える

これで、フィルタを忘れたクエリは他の全員のデータではなく ゼロ件 を返します。バグは目に見えない漏えいではなく、目に見える欠落になります。その違いこそがすべての論拠です。

corpusctl はこれを、認証やモジュールレジストリと並んでコアで行います。すべてのアプリケーションクエリは依然として明示的にテナントスコープされており、RLS は第一の防御線ではなく第二の防御線です。第二の防御線の意義は、第一の防御線が失敗した日にそこにあることです。

テーブルはテナントごとにハッシュパーティションされてもおり、これによって 1 つの大規模顧客が他の全員のクエリプランを劣化させることを防ぎます。

#ユーザーはテナントではない

後で最も高くつくモデリングの間違いです。

実際の SaaS では、人は複数の顧客に属します。エージェンシーのユーザーはあなたのクライアント 3 社を管理します。サポートエンジニアは 1 つのアカウントに 1 週間の読み取りアクセスが必要です。外部の請負業者はブランド 2 に取り組み、ブランド 1 を見てはなりません。

モデルが「ユーザーはテナントに属する」であれば、これらのすべてが重複アカウントになり、重複アカウントは監査の問題になります。

corpusctl のモデルはこうです。ユーザーは各スペースで別々のロールを持ちます。 あるスペースではオーナー、別のスペースでは編集者、3 つ目では不可視。1 つのアイデンティティ、N 個のメンバーシップ。そしてパネルにはその人が実際に属しているスペースのみが表示されます。

その上に 1 つの意図的なルールがあります。スペースの最後のオーナーは降格も削除もできません。オーナーのいないスペースは誰も管理できないスペースです。錠は外側に掛かったままです。

#プロジェクト単位の料金が SaaS の利益率に何をもたらすか

ここで CMS の選択は技術的な決断ではなくなります。

ベンダーの料金ページから 2026 年 8 月 17 日 に確認しました。

注目すべきパターンはこうです。これらの単位は、顧客あたりの収益ではなく あなたの顧客数 に応じてスケールします。月額 29 ドルのプランの SaaS は、顧客あたり月額 35 ドルの CMS コストを吸収できません。算数は単に成り立たず、規模が増えても良くはなりません。

これが corpusctl が作られたケースです。スペースは課金単位ではありません。

#読み取り、そしてなぜそれも計測すべきではないのか

顧客数に応じてスケールする 2 つ目のコストはトラフィックです。CMS が API 呼び出しを計測するなら、すべての顧客の訪問者があなたのメーターに乗り、最も混雑する顧客が最も高くつく顧客になります。彼らがあなたに何を支払うかに関係なくです。

corpusctl の読み取り経路は、呼び出しそのものを取り除くことでメーターを取り除きます。公開時にはコンテンツがオブジェクトストレージ内の イミュータブルでハッシュアドレス指定されたファイル に書き込まれ、マニフェストが更新されます。読み手のクライアントはスラグをローカルでマニフェストシャードに解決し、そのアドレスを nginx エッジキャッシュから取得します。アドレスはコンテンツハッシュなので、異なるコンテンツを返すことは決してできません。インバリデーション戦略なしに 30 日間キャッシュ可能です。

訪問者のトラフィックが API や PostgreSQL に到達することは決してありません。書き込み経路は編集者に合わせてサイズされ、読み取り経路はキャッシュによってサイズされます。

#ダウングレードはデータを削除してはならない

SaaS では、ダウングレードし、失効し、戻ってくる顧客がいます。その瞬間に CMS が何をするかは、あなたが引き継ぐ製品の決定です。

corpusctl はすべての機能を モジュール にします。メディア、検索、Webhook、SEO、GraphQL、インポート、分析——いずれも 2 つの状態を持ちます。

プランのダウングレードはモジュールを disabled に設定します。データを決して削除しません。 これはサポート記事で約束されているのではなく、コードベースで強制されています。これは重要です。3 ヶ月後に戻ってくる顧客は自分のコンテンツがそこにあることを期待しており、その期待は正当だからです。

モジュールはまた、互いをインポートできません。サービスレジストリとイベントバスがモジュール間の唯一のチャネルであり、そのルールが破られれば CI がビルドを失敗させます。実際上の帰結はこうです。機能の削除はシステムを壊せないので、テナントごとの機能セットはフォークではなく設定の問題になります。

#マルチテナント SaaS 向けに任意の CMS を評価するためのチェックリスト

1. プロジェクトは 課金単位 か？顧客 100 社目はいくらかかるか？
2. 分離はどこで 強制 されるか——アプリケーションか、それともデータベースか？
3. 1 つのユーザーが異なるテナントで 異なるロール を持てるか？
4. 読み取りは計測されるか？誰によって——あなたか、それとも顧客の訪問者か？
5. ダウングレード時にデータはどうなるか？
6. パネルに人を介さずに、API からテナントをプロビジョニングできるか？
7. 読み取って課金に使えるテナントごとの クォータ カウンターはあるか？

問い 1 は、問い 2 にたどり着く前にほとんどの候補を排除します。

関連： ヘッドレス CMS の比較 · corpusctl 対 Sanity