APIキーとは、プログラムやツールが外部のサービスを呼び出すときに、「正規の利用者です」と示すために添える文字列のことです。合言葉つきの入館証のようなもので、これを持つ人は持ち主と同じ権限でサービスを使えます。
仕組み
サービスの提供側が、利用者ごとに長くて推測しにくい文字列を発行します。プログラムは外部サービスへ依頼を送るたびにこの文字列を添え、提供側は内容を確認して、誰からの依頼か、どこまで許可するかを判断します。利用量の集計や課金も、キーごとに行われるのが一般的です。
注意点
APIキーは持ち主本人と同じ権限を持つため、漏れると第三者に勝手に使われ、情報漏えいや高額な利用料金につながるおそれがあります。ソースコードへの直接記述、チャットや資料への貼り付け、公開リポジトリへの登録は避け、環境変数や専用の秘密情報管理の仕組みに置きます。
管理のポイント
用途ごとにキーを分け、必要最小限の権限だけを与えると、万一の被害を小さくできます。漏えいが疑われたら、すぐにそのキーを無効化し、新しいキーを再発行して差し替えます。定期的な見直しや、使っていないキーの削除も大切です。
