🔥 社内ツールを全部Honoで量産している自分が、2026年上半期のHonoを棚卸しした

ここ1年、社内ツールを作るたびにスタックが同じになっている。Cloudflare Workers + Hono + htmx。プロジェクト管理の中継プロキシも、WFのレビュー配信も、承認フローの受け口も、全部この組み合わせで済んでしまった。

新しいものを試すのが仕事の一部なのに、サーバー側だけ全然浮気していない。これは依存というより、単に困っていないからだ。そのHonoが2026年上半期どう動いたか、実運用者として一度棚卸ししておきたい。

数字の現在地 — 派手さはない、それがいい

最新版はv4.12.29(2026年7月10日リリース)。GitHubスターは31.3kで、npmの月間ダウンロードは500万を超えた。2024年末が20k程度だったので、1年半で5割増。それでいてv5のようなメジャーバージョンの気配はなく、v4.12系でセキュリティ修正とバグ修正を細かく刻んでいる。

「エッジで動くフレームワーク」の選択肢を挙げると、Workers・Deno Deploy・Bunのどれでも結局Honoに落ちる。Express比で10倍近いというベンチマークも出回っているが、条件次第の数字なので参考程度でいい。実務で助かるのはむしろ、ゼロ依存・20KB未満という足回りと、同じコードがWorkers・Lambda・Node・Deno・Bunでそのまま動くことの方だ。ランタイムの引っ越しが「設定の書き換え」で済むのは、精神衛生にかなり良い。

6月の脆弱性3連修正 — 運用中なら今すぐ上げる

上半期でいちばん実務に直結するニュースはこれだと思う。2026年6月、v4.12.27で3件の脆弱性が一括修正された。

• JSXレンダリングのコンテキスト隔離不足
• cx()(クラス名結合ヘルパー)経由のXSS
• Windows環境でのパストラバーサル

HonoのJSXをSSRで使っているなら、上の2つは他人事ではない。うちのツール群も全部JSX SSRなので、リリースノートを見た日に全ツールのバージョンを上げて回った。ゼロ依存なのでアップデートが一瞬で終わるのは、こういう日にありがたみが出る。日本語圏だとチュートリアルは山ほどあるのに、この手のセキュリティ情報のまとめが流れてこないんですよね。

いちばん使われていない主力機能 — RPC

Zennに基礎記事が出尽くしたHonoで、まだ布教の余地が残っているのがRPCだ。サーバーのルート定義から型を取り出して、クライアントに型付きで共有できる。

サーバー側でルートの型をexportして:

const route = app.get('/todos', (c) =>
  c.json([{ id: 1, title: '棚卸し' }])
)
export type AppType = typeof route

クライアント側は hc にその型を渡すだけ。

import { hc } from 'hono/client'

const client = hc<AppType>('/')
const res = await client.todos.$get() // レスポンスに型が付く

tRPCと違ってコード生成も専用サーバーもなく、「ルート定義がそのままスキーマ」になる。APIの型定義ファイルを別管理して腐らせた経験がある人ほど刺さるはずだ。自分はhtmx側の画面が多いので出番が限られていたんですが、型が要るツールから順に置き換え始めている。

フレームワークのニュースは「新機能」で語られがちだけど、2026年のHonoは「事件が起きないこと」が最大の成果だと思う。細かく刻まれるパッチ、増え続けるダウンロード、変わらないAPI。道具が透明になっていく過程を見ている感覚に近い。あなたのスタックで「浮気しなくなった道具」、何がありますか。